Qubic снова в сети: как проект собирается вернуть украденные $1,4 миллиона

Qubic возобновил работу своего блокчейна и запустил процесс возврата средств после того, как злоумышленник воспользовался уязвимостью в генерации seed-фраз и вывел примерно $1,4 миллиона в токенах QU с 1404 кошельков. Сеть простаивала несколько дней, пока команда проекта и сообщество валидаторов решали, что делать с последствиями атаки.

Что произошло с сетью Qubic

Проблема вскрылась, когда выяснилось, что часть кошельков, созданных через веб-кошелёк Qubic на определённых устройствах Apple и в некоторых браузерах, получала предсказуемые seed-фразы. Причина банальна и одновременно пугающая: генератор случайных чисел работал недостаточно безопасно, из-за чего приватные ключи можно было вычислить, а не подобрать методом перебора. Атакующий этим воспользовался и начал планомерно опустошать уязвимые адреса.

Как только стало понятно, что происходит массовое хищение, команда Qubic приняла решение остановить обработку блоков, чтобы украденные токены не успели разойтись дальше по сети и их было проще отследить. Блокчейн встал на тике 85 371 949 в воскресенье, и с этого момента началась работа над планом восстановления.

Роль Computors в решении проблемы

Особенность архитектуры Qubic system в том, что за подтверждение транзакций и ключевые решения по сети отвечают валидаторы, которых в проекте называют Computors. Именно они одобрили план восстановления и дали добро на перезапуск сети. Судя по данным блокчейн-эксплорера Qubic, обработка тиков возобновилась в 20:00 19 октября, и сеть продолжила работу с того места, где остановилась.

Решение Computors выглядит логичным шагом для проекта, который позиционирует себя как децентрализованную систему с участием сообщества в управлении, а не просто команду разработчиков, принимающую единоличные решения в кризисной ситуации.

Как пострадавшие могут вернуть средства

Для компенсации похищенных токенов Qubic запустил специальную платформу claims, где пользователи могут проверить свой адрес и подать заявку на возврат. Срок подачи заявок установлен до 1 мая 2027 года - срок достаточно длинный, чтобы дать пострадавшим время разобраться в ситуации, особенно тем, кто мог не сразу заметить, что их кошелёк был скомпрометирован.

Подробнее о том, как команда Qubic выстраивала процесс компенсации и кто в итоге оказался ответственен за произошедшее, мы уже разбирали в материале Qubic system: кто виноват в краже 2,94 триллиона QU.

Техническая сторона уязвимости

Команда проекта прямо признала масштаб проблемы и не стала делать вид, что всё под контролем по умолчанию. В официальном заявлении от вторника сказано:

Если вы создали свой кошелёк через веб-кошелёк Qubic до версии 4.26.4 (выпущена 19 октября), считайте его небезопасным, даже если средства никогда не трогали.

Разработчики настоятельно рекомендовали всем пользователям обновиться и не затягивать с миграцией средств:

Обновитесь до веб-кошелька версии 4.26.4 или новее, затем создайте новый кошелёк. Переведите средства на новый кошелёк как можно скорее и никогда больше не используйте старый.

Такая формулировка показывает, что проблема была не точечной, а системной - затронут мог быть практически любой пользователь, создавший кошелёк через уязвимую версию клиента, независимо от того, заметил он подозрительную активность или нет.

Контекст и что это значит для пользователей Qubic

Это уже не первый случай, когда слабая генерация seed-фраз становится причиной крупной потери средств в криптопроектах. Сам Qubic ранее уже сталкивался с похожей проблемой, о чём мы писали в статье Qubic остановил блокчейн после кражи 1,4 млн долларов из слабых кошельков. Повторение подобных инцидентов наводит на мысль, что вопросы аудита клиентского софта и генераторов случайных чисел заслуживают куда более пристального внимания со стороны разработчиков, чем им уделяется сейчас.

Похожие истории с восстановлением сети после масштабных хищений случались и у других проектов. Например, сеть Liquid Network от Blockstream пережила кражу на $320 миллионов и смогла вернуться в строй, о чём подробно рассказано в материале Liquid Network снова в строю: как Blockstream пережила кражу на $320 миллионов. Опыт показывает, что скорость реакции команды и прозрачность коммуникации с пользователями часто важнее самого факта инцидента для сохранения доверия к проекту.

Для обычного держателя токенов QU главный вывод прост. Если кошелёк создавался через веб-клиент Qubic до выхода исправленной версии, его нужно считать потенциально скомпрометированным вне зависимости от того, видны ли на нём признаки взлома прямо сейчас. Миграция на новый кошелёк с обновлённым генератором ключей - не рекомендация для галочки, а необходимый шаг, чтобы не оказаться в числе пострадавших во второй волне атаки, если злоумышленники вернутся к тем же уязвимым адресам позже.

История с Qubic в очередной раз напоминает, что безопасность крипто-кошельков начинается не с биржи и не со смарт-контракта, а с того самого момента, когда генерируется seed-фраза. Если этот этап сделан небрежно, все остальные меры защиты теряют смысл.

Автор

Barbados