BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
Блокчейн-сеть Qubic system в воскресенье полностью остановила работу после того, как неизвестный злоумышленник вывел около 1,4 миллиона долларов более чем с 1400 кошельков. Причина банальна и уже знакома крипторынку - слабая генерация seed-фраз, из-за которой приватные ключи оказались предсказуемыми и легко подбираемыми.
Как Qubic system остановила сеть и что произошло
Команда проекта сообщила в X, что сеть была остановлена на тике 85 371 949 и на момент публикации остаётся на паузе. Это нестандартный шаг даже для проблемного блокчейна, но разработчики Qubic system решили, что лучше заморозить всю сеть целиком, чем позволить атакующему продолжать выводить средства с других уязвимых адресов.
По заявлению проекта, уязвимость затронула seed-фразы, сгенерированные в любом браузере на iPhone и iPad, в Safari на Mac до 18 октября 2026 года, а также в приложении Qubic для iOS до июля 2025 года. В итоге злоумышленник получил доступ к 2,94 триллиона QU - именно столько токенов было выведено с пострадавших кошельков.
Корень проблемы: слабые seed-фразы и Math.random()
Техническая причина инцидента оказалась до обидного простой. Веб-кошелёк Qubic использовал функцию JavaScript Math.random() для создания seed-фраз, а эта функция вообще не предназначена для криптографических задач - она даёт предсказуемую последовательность чисел, которую при определённых условиях можно восстановить. В коммите на GitHub для версии 4.26.4 видно, что разработчики заменили её на криптографически стойкую функцию crypto.getRandomValues().
Проблема в том, что исправление в коде не возвращает деньги тем, чьи ключи уже были сгенерированы по старой уязвимой схеме. Все кошельки, созданные до патча на перечисленных устройствах, остаются потенциально скомпрометированными, пока сеть кьюбик не разберётся, что делать дальше.
Куда делись похищенные токены
Команда Qubic попыталась успокоить сообщество цифрами. По их данным, большая часть украденного - 87,1% - вообще не покидала сеть и до сих пор заморожена прямо на месте благодаря остановке блокчейна. Оставшиеся 12,9% были отправлены на биржу MEXC, которая, по словам проекта, заблокировала принимающий аккаунт примерно через час после поступления средств.
87,1% выведенных средств никогда не покидали сеть Qubic и остаются заблокированными на месте. Оставшиеся 12,9% были отправлены на MEXC, чья команда заморозила принимающий аккаунт примерно через час.
Быстрая реакция биржи - редкий случай, когда централизованная площадка оказывается полезной именно в момент кризиса. Но даже с учётом заморозки большей части средств вопрос о том, как их технически вернуть пострадавшим пользователям, остаётся открытым.
Это не первая история про слабые seed-фразы
Атаки, построенные на предсказуемой генерации приватных ключей, в последнее время происходят с пугающей регулярностью. В июле аппаратный кошелёк Coldcard признал, что баг в прошивке ослаблял seed-фразы, чем и воспользовались атакующие для кражи средств. Похожие уязвимости в 2023 году затрагивали браузерное расширение Trust Wallet и инструмент Libbitcoin Explorer.
Закономерность неприятная: чем сложнее становится экосистема кошельков - браузерные расширения, мобильные приложения, веб-интерфейсы - тем больше точек, где разработчики могут по невнимательности использовать не тот генератор случайных чисел. Разработчики аппаратных кошельков и так находятся под постоянным давлением после громких историй вроде скандала со шпионскими чипами в устройствах Ledger, а теперь к списку рисков добавляются ещё и программные ошибки в самой логике создания ключей.
Что будет с замороженными средствами дальше
Qubic заявила, что её основная команда сейчас занимается идентификацией всех пострадавших кошельков и готовит варианты восстановления для голосования среди так называемых Computors - узлов сети, которые и будут решать судьбу замороженных токенов. Полный технический отчёт обещают опубликовать только после того, как план восстановления будет окончательно согласован. Дата перезапуска сети пока не называется.
Такая схема управления через голосование валидаторов напоминает истории с другими взломанными протоколами, где сообщество фактически брало на себя роль арбитра. Похожий сценарий недавно разыгрался и в истории с мостом Cysic, где из-за бага моста ушли сотни тысяч долларов в Ethereum - там команде тоже пришлось останавливать инфраструктуру и разбираться постфактум.
Контекст: Qubic и общая картина по взломам в 2026 году
Qubic позиционирует себя как блокчейн первого уровня без комиссий за транзакции и смарт-контракты, построенный на механизме консенсуса Useful Proof of Work - идея в том, чтобы энергия майнинга шла не впустую, а на обучение моделей искусственного интеллекта. На момент написания капитализация токена Qubic составляла около 62,6 миллиона долларов по данным CoinGecko, так что потеря 1,4 миллиона долларов - это заметный удар по небольшому, но амбициозному проекту.
Инцидент с кьюбик вписывается в общую печальную статистику третьего квартала. По отчёту AMLBot за 2026 год, основанному на 250 расследованиях с начала года, взломы и эксплойты составили лишь 19% всех зафиксированных случаев криптопреступлений, но при этом дали 40% всех заявленных убытков. Для сравнения достаточно вспомнить и другие крупные истории последних месяцев - от падения капитализации HEX после ареста Ричарда Харта в Турции до серии взломов крупных бирж. Цифры наглядно показывают, что даже относительно небольшая доля атак способна нанести огромный финансовый урон всей индустрии.
Для обычного пользователя история с Qubic system - лишний повод проверить, на каком устройстве и в каком приложении создавалась его seed-фраза, и по возможности перенести средства на кошелёк, сгенерированный уже после исправления уязвимости. Доверять старым ключам, созданным на уязвимых версиях приложений, после такого инцидента явно не стоит.
