Взлом Qubic на $1,4 млн: как проверить кошелёк QU и вернуть средства

Обновлено: 28 октября 2026 года. После октябрьского инцидента Qubic владельцам QU нужно различать три задачи: проверку старой секретной фразы, безопасный перенос активов и оформление официального требования о возврате. Ниже - последовательный разбор без обещаний гарантированной компенсации.

Сразу важно: никогда не вводите seed-фразу в портал проверки. Официальная процедура использует публичную identity и подписанное сообщение, а решение о возврате принимает Computor quorum.

Что произошло с Qubic 17-18 октября 2026 года

Ночью с 17 на 18 октября 2026 года участники сети Qubic столкнулись с необычным типом кражи: злоумышленник получил возможность распоряжаться активами многих пользователей без публично подтверждённой компрометации центрального блокчейн-протокола. По опубликованной проектом информации, между 23:42 UTC 17 октября и 01:26 UTC 18 октября были опустошены 1 404 кошелька. Объём выведенных активов оценивался примерно в 2,94 трлн токенов QU, а долларовый эквивалент в момент инцидента - примерно в 1,3-1,4 млн долларов. Эти цифры характеризуют перемещение токенов во время атаки, а не окончательно невозмещённый ущерб.

Ключевая особенность истории - источник проблемы находился в создании секретов кошелька. Часть кошельков использовала исходные секретные фразы, сформированные генератором недостаточно стойких случайных чисел. Сторонний человек мог подбирать возможные исходные данные и рассчитывать соответствующие идентификаторы. Если такой идентификатор совпадал с адресом, где находились QU, секрет переставал выполнять свою основную задачу: оставаться известным только владельцу. Списание выглядело как операция с действительным ключом, хотя владелец её не инициировал.

Реакция сети оказалась необычной для рядового владельца криптовалют. Обработка новых операций была остановлена на tick 85 371 949. Затем участники консенсуса, которых Qubic называет Computors, согласовали защиту обнаруженных уязвимых остатков и механизм возврата на новые адреса после проверки заявителей. Сеть возобновила работу 19 октября; 20 октября проект сообщил об открытии специального портала. Эти меры не отменяют исходной уязвимости старых секретов и не означают автоматического возмещения каждому пользователю.

Короткий ответ: что делать владельцу QU прямо сейчас

Если вы когда-либо создавали Qubic-кошелёк в старой версии веб-клиента, начинайте с проверки происхождения seed-фразы и текущей версии приложения. Не вводите секретную фразу в поисковик, сайты проверки, формы поддержки или страницы, присланные в личных сообщениях. Адрес кошелька, в отличие от seed-фразы, допускается использовать для поиска по публичному реестру: он нужен, чтобы понять, попала ли ваша identity в перечень затронутых.

Далее разделите ситуацию на две. Если идентификатор не включён в защитный список и средства доступны, задача - создать принципиально новый кошелёк исправленным клиентом в безопасной среде и перевести остаток после сверки адреса. Если адрес включён в официальный список, активы могут оказаться заблокированы в рамках механизма защиты; тогда обычный перевод может не сработать, и нужно действовать через процедуру reclamation. Создание нового кошелька необходимо в обоих случаях: возвращать средства на потенциально предсказуемый старый ключ нельзя.

При обнаружении несанкционированного списания немедленно фиксируйте публичные данные: идентификатор источника, время операций, tick, суммы и ссылки на просмотр транзакций. Параллельно подготовьте объяснение, когда и на каком устройстве создавался кошелёк. Не тратьте время на сервисы, обещающие «отменить» транзакцию за предоплату: блокчейн обычно не предусматривает такого механизма, а программа Qubic требует отдельной проверки и решения участников сети.

• Не раскрывайте seed-фразу и приватный ключ никому, включая якобы сотрудников Qubic.
• Проверьте идентификатор по адресу официального портала, набранному вручную.
• Создайте новую identity со свежим секретом в обновлённом кошельке.
• Соберите доказательства владения и действуйте по подходящей процедуре возврата.

Почему слабая случайность делает seed-фразу опасной

Секретная фраза безопасна не благодаря тому, что содержит много символов, а потому, что эти символы должны быть выбраны непредсказуемо. Для криптографической защиты важно, чтобы возможных вариантов было очень много и чтобы злоумышленник не мог сузить их число, зная устройство, программу или время создания кошелька. Длинная фраза, составленная из плохо случайных значений, может выглядеть надёжной и при этом иметь сравнительно небольшое пространство реальных вариантов.

Разбор исправления Qubic показывает, что прежняя логика формирования секретов обращалась к JavaScript Math.random(). Эта функция удобна для графики, тестов и других обычных вычислений, но она не предназначена для создания секретных криптографических ключей. Исправленный вариант использует crypto.getRandomValues(), который предоставляет криптографически стойкие случайные байты в поддерживаемой среде. Разработчики дополнительно устранили смещение, которое могло бы возникнуть при преобразовании байтов в буквы секретной фразы.

Важно не смешивать документированный дефект кода с гипотезами о конкретном переборе. То, что старый механизм генерации был небезопасен, подтверждается изменением программы и характером известных случаев. Точный метод, мощность оборудования и полный набор данных, которыми воспользовался нападавший, не следует выдавать за доказанный факт без итогового технического отчёта. Для обычного владельца практический вывод от этого не меняется: старый секрет требуется перестать использовать.

Какие устройства, браузеры и версии оказались под риском

По предупреждениям Qubic, к особенно уязвимым сценариям относились фразы, созданные до 18 октября 2026 года в любом браузере на iPhone или iPad, в Safari на компьютере Mac, а также в официальном iOS-приложении до июля 2025 года. Объединяет эти случаи конкретная комбинация старого способа генерации секрета и среды исполнения. Это не означает, что каждый iPhone был взломан или что все кошельки, когда-либо открытые на устройствах Apple, уже опустошены.

Проект также рекомендовал считать небезопасными кошельки, созданные с помощью веб-клиента ранее исправленной версии 4.26.4, даже если никаких несанкционированных переводов не было. Такое более широкое предостережение полезно, когда невозможно с уверенностью восстановить, где, когда и какой версией сформирована фраза. Консервативная мера - новый секрет, новый адрес и отказ от повторного использования старого исходного ключа.

Разница между созданием и просмотром кошелька принципиальна. Открытие уже существующей identity в новой программе не меняет то, как когда-то была получена секретная фраза. И наоборот: наличие старого приложения на устройстве не обязательно доказывает, что именно им создавался используемый сегодня секрет. Проверьте историю своих действий по локальным записям, установочным файлам и датам, не загружая сами секреты в сторонние инструменты.

Исправление 4.26.4: почему обновить приложение недостаточно

Версия веб-кошелька 4.26.4 исправляет механизм генерации новых секретов. Обновление важно, поскольку оно препятствует повторению аналогичной ошибки при создании нового хранилища. Но оно не способно «усилить» уже выданную фразу: последовательность букв старого секрета остаётся той же, а знающий её злоумышленник может продолжать контролировать производный адрес. Это аналог ситуации, когда исправленный генератор паролей не меняет пароль, созданный до исправления.

Правильная последовательность состоит из двух независимых действий: обновить или безопасно открыть исправленный клиент, а затем создать именно новую identity с новой seed-фразой. Нельзя считать новой защитой простое переименование учётной записи, смену интерфейса, очистку истории браузера, повторное подключение старого кошелька или экспорт/импорт прежнего секрета. Новый адрес должен управляться новой криптографической тайной, которую никто ранее не мог восстановить.

Перед скачиванием проверьте домен проекта и путь к официальным релизам. Избегайте рекламы в поисковой выдаче, установщиков из чатов и расширений с похожими названиями. Если у вас есть только старый телефон или браузер, а рекомендации проекта требуют создания ключа на незатронутом устройстве, выберите другое доверенное устройство. Помните: исправная программа не отменяет опасности заражённой операционной системы или чужого доступа к экрану.

Как безопасно создать новую Qubic identity

Выделите спокойное время и устройство без подозрительных расширений. Проверьте, что операционная система получает обновления, и откройте официальный Qubic Wallet через адрес, полученный с проверенного сайта проекта. Удостоверьтесь, что версия не ниже 4.26.4, а интерфейс действительно предлагает создать новый секрет. Любой запрос «восстановить» прежнюю фразу означает иную операцию и не решает задачу замены уязвимого кошелька.

При генерации новой фразы отключите трансляцию экрана, не запускайте программы удалённого доступа и не копируйте секрет в облачные заметки, мессенджеры или обычный буфер обмена, если этого можно избежать. Запишите его офлайн и перепроверьте символы. Храните резервную копию отдельно от компьютера, учитывайте риск пожара, воды и доступа посторонних. После выхода из процедуры убедитесь, что можете безопасно восстановить именно новый кошелёк, но не проверяйте это на сомнительных сайтах.

Запишите только публичный идентификатор нового кошелька для последующей заявки. У Qubic identity имеет 60 символов; при подаче заявления проверяйте не только первые или последние несколько, а весь адрес. При возможности используйте локальную сверку из двух независимых представлений адреса. Ошибка в одном символе способна отправить активы не туда; неверный адрес назначения в уже рассмотренной заявке особенно трудно исправить.

Как проверить 60-символьный адрес в списке затронутых

Официальный портал восстановления опубликован по адресу https://weak-seed-reclaim.qubic.org/ . Откройте его вручную, а ещё лучше перейдите по подтверждённой ссылке с официального сайта Qubic. На странице есть проверка affected identity и описание дальнейших шагов. В проверку вводится публичный 60-символьный идентификатор, а не 55-символьная секретная фраза. Если страница просит seed, предлагает перевести «активационный платёж» или выполнить вход через случайное расширение, немедленно прекратите действие.

Попадание адреса в опубликованный перечень означает, что на него распространяется предусмотренная командой процедура. Это не то же самое, что доказательство кражи всей суммы: некоторые уязвимые адреса включались в защитный механизм, хотя средства с них не были похищены. Отсутствие в перечне также не гарантирует, что ваш секрет безопасен, если он был получен старым генератором. Поэтому проверка списка - инструмент выбора пути восстановления, а не замена профилактической миграции.

Сохраните в локальном файле дату проверки, публичный адрес и официальный ответ системы; можете зафиксировать экран без секретов и персональных данных. Если реестр временно не открывается, не переходите на копии, которые распространяются в комментариях. Повторите попытку позже или используйте подтверждённые объявления команды, не раскрывая приватную информацию.

Как отличить украденные QU от замороженных QU

После инцидента появились несколько разных категорий активов. Первая - QU, выведенные злоумышленником, но оставшиеся внутри сети и попавшие в контур защитного восстановления. Вторая - часть суммы, отправленная на MEXC, по которой механизм возврата может зависеть от биржи, расследования и внешних процедур. Третья - средства на предсказуемых адресах, которые ещё не успели украсть, но могли быть временно ограничены в рамках профилактической защиты.

В первоначальном сообщении проекта указывалось, что около 87,1% похищенного объёма осталось на сети и было заморожено, а примерно 12,9% попало на MEXC, где, по сообщению Qubic, целевой аккаунт заблокировали. Проценты относятся к распределению объёма после атаки, но сами по себе не подтверждают, что эти доли уже выплачены владельцам. Текущая доступность отдельного баланса зависит от результатов проверки и решений операторов механизма восстановления.

Проверяйте сообщения портала для конкретной identity: статус средств, доступность заявки, дополнительные доказательства и ограничения. Не используйте слово «потерял» там, где активы лишь защищены временной блокировкой, но также не считайте находящиеся на escrow средства уже возвращёнными. Такая точность нужна не только журналистам; она помогает не ошибиться при обращении в поддержку и объяснении ситуации другим владельцам средств.

Подача заявки на возврат QU: пошаговый порядок

Начинайте только после того, как подготовили новый безопасный адрес. В официальной форме указываются affected source identity и новая destination identity. Система ожидает, что исходный адрес действительно присутствует в опубликованном списке, а адрес назначения создан исправленным клиентом и не связан с прежней слабой фразой. Не пытайтесь направить выплату на биржевой депозит, если правила сервиса этого явно не допускают: ошибка с получателем может привести к дополнительным сложностям.

Далее портал предлагает подписать строго определённое сообщение от имени исходной identity. Подпись связывает заявителя со знанием исходного секрета, но из-за природы атаки она не может быть единственным аргументом: злоумышленник тоже потенциально мог вычислить секрет. Поэтому разработчики предусмотрели дополнительные материалы и ручную или коллективную проверку претензий. Никогда не вставляйте фразу в форму сайта; подписывайте сообщение только в доверенном кошельке и проверяйте его текст.

После отправки сохраните присвоенный номер или подтверждение заявки, дату, исходную и новую identity, а также все официальные уведомления. В заявленной процедуре принятые заявки публикуются для семидневного периода возможных возражений, после чего решение о переводе средств применяется участниками консенсуса. Отсутствие немедленного поступления QU не обязательно означает отказ: статус может зависеть от очереди проверок, характера активов и возражений. Крайний срок подачи, указанный командой, - 1 мая 2027 года; не оставляйте подготовку на последние дни.

• Проверьте исходный публичный адрес по официальному списку.
• Создайте новую identity в исправленном кошельке.
• Укажите оба публичных адреса в форме портала.
• Подпишите только штатное сообщение и приложите требуемые доказательства.
• Сохраните подтверждение и проверяйте официальный статус заявки.

Какие доказательства владения подготовить

Хорошее доказательство - то, что связывает конкретного человека и конкретную identity с историей пополнений, но не раскрывает секрет. Полезны история покупок QU на бирже, подтверждения вывода токенов, даты и суммы переводов, идентификаторы транзакций, сохранённые записи о создании кошелька и переписка со службой поддержки платформы, где вы приобретали активы. Особую ценность имеют независимые записи, сделанные до того, как факт атаки стал публичным.

Соберите хронологию в простом документе: когда пополнялся кошелёк, из какого сервиса поступали монеты, какие суммы были переведены, когда вы заметили проблему и почему считаете адрес своим. Проверяющий должен иметь возможность сверить сведения с публичным журналом или подтверждениями от сервиса. Скриншот без контекста легче подделать, чем совокупность независимых данных, поэтому ориентируйтесь на проверяемую историю.

Документы с персональными данными и идентификаторами аккаунтов передавайте только через явно предусмотренный официальный процесс и лишь в минимально необходимом объёме. Не публикуйте билеты поддержки, паспорт, почту и номер телефона в открытом чате. Если правила конкретной заявки требуют дополнительную информацию, сначала выясните, кто её получит и как она будет использоваться. Сама seed-фраза не должна становиться «доказательством» для отправки кому-либо.

Почему подпись старым ключом не подтверждает право собственности сама по себе

В нормальной криптографической модели действительная цифровая подпись означает, что отправитель располагает ключом, а владение ключом обычно служит достаточным основанием распоряжаться адресом. Но при ошибке случайной генерации ключ может оказаться доступным третьим лицам, которые не являются законными владельцами активов. Тогда одна и та же техническая подпись может быть создана и пользователем, и атакующим - на криптографическом уровне они будут неразличимы.

Отсюда необычная для крипторынка необходимость учитывать внецепочечные сведения о приобретении токенов, исторические связи адресов и возможные возражения. Это повышает стоимость восстановления и может вызывать споры об объективности решений, но игнорировать проблему невозможно: автоматическая выдача средств каждому подписавшемуся позволила бы нападавшему повторно претендовать на украденный объём.

Не стоит трактовать запрос дополнительных подтверждений как автоматический признак мошенничества. Важен способ: официальный портал описывает процедуру заранее и предупреждает, что не требует seed или платы. Любой незнакомец, предлагающий «упростить» проверку за комиссию, импорт фразы или удалённый доступ, действует вне описанного командой процесса и должен рассматриваться как отдельная угроза.

Как работает семидневный период оспаривания

Согласно опубликованным правилам, одобренные требования могут попасть в открытый список с семидневным сроком для возражений. Смысл такого интервала - дать возможность заявить о конфликте, если две стороны претендуют на одни и те же активы либо обнаружены несоответствия. До завершения процедуры само появление заявки в списке ещё не равнозначно окончательному перечислению средств.

Для заявителя полезно сохранять возможность подтвердить свои пояснения и регулярно сверять публичный статус по официальным каналам. Не публикуйте личные данные в ответ на случайные сообщения «арбитров», которые пришли не из портала. Если поступило возражение, ориентируйтесь на описанный проектом путь разрешения конфликта и просите объяснить, какие доказательства нужны именно по вашему кейсу.

Количество уже утверждённых требований и сумма фактически возвращённых QU могут меняться. В новостных публикациях на 20-25 октября сообщалось о первых возвратах, но не приводился полный независимо сверенный итог. Поэтому обещание «100% возврата всем за 7 дней» не соответствует известной процедуре. Период оспаривания - один из этапов, а не гарантия фиксированной даты выплаты.

Что делать, если токены не украдены, но адрес заблокирован

Часть пользователей столкнулась с неприятной ситуацией: баланс до атаки оставался целым, однако адрес был классифицирован как рискованный и временно ограничен. По опубликованному дизайну восстановления таким адресам также может потребоваться подтверждение владения и выдача на новый безопасный идентификатор. Это превентивная мера, потому что слабый секрет мог быть рассчитан в любой момент; отсутствие списания до блокировки не делает его криптографически надёжным.

Не пытайтесь обойти защиту, передавая старую фразу стороннему сервису или оплачивая «разблокировку». Сначала установите статус identity по официальному перечню и разберитесь, какая ветка reclaim предусмотрена именно для неё. Создайте новый кошелёк, подготовьте историю владения и подайте требование. Если официальный механизм допускает самостоятельное перемещение неограниченных остатков, выполняйте его только на новую identity; не полагайтесь на старую фразу после миграции.

При коммуникации с поддержкой используйте точную формулировку: «средства не списаны, но identity попала в защитный список», если именно это подтверждают доступные данные. Так будет проще отличить вашу ситуацию от заявок по реально выведенным активам и от случаев, зависящих от сторонней биржи.

Что делать, если часть QU оказалась на MEXC

В течение первых часов после атаки часть переведённых токенов достигла MEXC; Qubic сообщал о блокировке получающего аккаунта. Это важный защитный шаг, однако заморозка на торговой площадке не равна возврату конкретному владельцу. В отличие от средств, оставшихся в собственном контуре Qubic, биржевые остатки потенциально затрагивают внутренние процедуры биржи, проверку происхождения активов и взаимодействие с уполномоченными органами.

Заявителю стоит сохранить исходные данные в сети и следовать инструкциям официального портала, где предусмотрена отдельная категория восстановления для биржевых переводов. Не стоит обращаться в непроверенные Telegram-аккаунты, представляющиеся сотрудниками MEXC, и тем более переводить дополнительные монеты «для верификации». Если биржа открыла официальную процедуру поддержки, общайтесь через аккаунт и каналы, указанные на её проверенном сайте.

Невозможно обещать одинаковые сроки для всех маршрутов возврата. Данные о блокировке активов снижают риск их дальнейшего бесконтрольного движения, но результат зависит от подтверждения законного владения и решений организаций, непосредственно удерживающих средства.

Как переносить доступный остаток QU без дополнительных потерь

Перед переводом убедитесь, что старый адрес не находится под защитной блокировкой, а клиент синхронизирован с актуальным состоянием сети. Не отправляйте сразу весь баланс на новый адрес, если интерфейс и условия переводов вызывают сомнения. Там, где технически доступно и экономически разумно, полезен небольшой тестовый перевод, после которого можно проверить получателя и фактическое зачисление по блокчейн-обозревателю.

Внимательно сравните весь 60-символьный адрес новой identity. Не пользуйтесь адресом из истории буфера обмена: вредоносные приложения могут подменять скопированные значения. Предпочтительнее заранее выписанный публичный адрес, проверенный по нескольким символам в разных частях строки или полностью сопоставленный независимым способом. При сомнениях в компьютере перенос лучше делать после проверки системы на вредоносное программное обеспечение.

Если уязвимый ключ уже известен атакующему, любые оставшиеся средства конкурируют с операциями злоумышленника. Не вводите новые активы на старый адрес ради комиссии или «активации». А если средства заблокированы, не пытайтесь раз за разом отправлять транзакции: это не ускоряет заявку и не решает вопрос доверия к ключу.

Как проверить операции и составить хронологию инцидента

Для первичной диагностики возьмите публичную identity и откройте надёжный обозреватель Qubic из официальной документации проекта. Найдите баланс, входящие и исходящие операции, отметьте подозрительные суммы и временные точки. У разных интерфейсов могут отличаться названия полей; в Qubic часто используются ticks и эпохи. Фиксируйте именно показанные системой значения, не переводите их автоматически в привычные форматы Ethereum или Bitcoin.

Сравните подозрительный перевод с собственной историей: действительно ли вы инициировали эту операцию, были ли активны в указанное время, совпадает ли адрес назначения с вашими контрагентами. Если вы обнаружили несколько последовательных выводов, составьте список всех без исключения. Это особенно важно, когда в кошельке происходили небольшие нормальные платежи рядом с крупным несанкционированным переводом.

Скриншоты полезны для удобства, но сильнее помогают ссылки на публичные записи и сохранённые текстовые данные. Храните копии в двух местах, чтобы не потерять материалы при замене устройства. Не публикуйте связку своего имени, адреса и размера капитала в социальных сетях: это может привлечь новых мошенников, которые специально ищут пострадавших.

Типичные мошеннические схемы после громкого взлома

После публикации информации об атаке неизбежно возникают предложения якобы ускорить возврат. Частая схема - сайт, практически копирующий оригинальный портал, но с другой доменной зоной, лишним символом или подменённой буквой. На нём предлагают «подключить кошелёк», импортировать секретную фразу, загрузить резервную копию либо оплатить минимальную комиссию. Настоящий сервис reclaim прямо предупреждает: команда не пишет пользователю первой, не спрашивает seed и не берёт плату за возврат.

Другая схема использует страх пропустить срок подачи. Человек получает срочное письмо о блокировке с кнопкой «подтвердите владельца за 30 минут». Обычные сроки заявок Qubic измеряются месяцами, а известная крайняя дата - 1 мая 2027 года. Это не повод откладывать подготовку, но и не причина выполнять опасные требования незнакомого отправителя.

Третий сценарий - поддельный сотрудник техподдержки в Telegram, Discord или X. Он просит продемонстрировать экран и открыть seed «только для сверки», присылает программу удалённого доступа либо направляет на несуществующую службу «chain recovery». Откажитесь от такого общения; для действий используйте лишь заранее проверенные официальные каналы и сохраняйте доказательства попыток мошенничества без ответной передачи личных данных.

Безопасность seed-фразы: привычки, которые стоит пересмотреть

Ситуация Qubic напоминает, что защита секретов состоит из двух частей: секрет должен быть создан надёжно и затем должен безопасно храниться. Даже идеальная офлайн-копия бесполезна, если исходная фраза предсказуема. Но и криптографически качественная фраза перестанет быть секретной, если владелец сфотографирует её, отправит себе на почту, вставит в веб-форму или хранит на устройстве с вредоносным ПО.

Разделяйте публичные и секретные данные. Публичный идентификатор можно использовать для проверки баланса, построения истории и подачи заявления. Seed даёт контроль над средствами; его следует показывать только доверенному программному кошельку в процессе восстановления, когда вы сами инициируете действие и уверены в происхождении приложения. Никогда не передавайте секрет «оператору», даже если он знает ваш баланс, адрес и транзакции: всё это может быть извлечено из открытых записей.

Для долгосрочного хранения рассмотрите отдельное устройство и разумное резервирование фразы, но помните об особенностях конкретной сети и поддерживаемых приложений. Не переносите автоматом инструкции для 12 или 24 слов BIP39 на Qubic, где формат секрета может быть иным. Отдельный безопасный кошелёк и регулярная проверка официальных обновлений обычно полезнее, чем десяток сомнительных расширений безопасности.

Чем этот взлом отличается от фишинга и атаки на смарт-контракт

При классическом фишинге пользователь сам раскрывает секрет, подписывает вредоносное действие или вводит пароль на поддельной странице. При взломе смарт-контракта злоумышленник может воспользоваться ошибкой в логике протокола, правами администратора либо недостаточной проверкой состояний. В истории Qubic центральной проблемой стала генерация секрета на стороне приложения: фраза могла оказаться вычислимой ещё до того, как пользователь впервые получил токены.

Это объясняет, почему привычные советы вроде «никому не сообщайте seed» были необходимыми, но недостаточными. Пострадавший мог не сообщать её абсолютно никому. Также не решает проблему отзыв разрешений, применимый в некоторых сетях со смарт-контрактами. Если атакующий способен получить ключ, нужно заменять секрет и переносить активы, а не рассчитывать на смену интерфейса или локальные настройки.

Отдельный урок касается разработчиков. Критическая часть безопасности - не только криптографический алгоритм подписи, но и качество источника случайности, правила генерации секретов, тестирование на разных браузерных движках и возможность контролируемой реакции на массовый инцидент. Исправление клиента и механизм возврата - разные процессы с разными зонами ответственности.

Хронология: от атаки до открытия возврата

17 октября, 23:42 UTC - начало указанного командой окна несанкционированных переводов. 18 октября, 01:26 UTC - завершение заявленного окна атак. Затем Qubic остановил цепочку на tick 85 371 949, чтобы ограничить дальнейшее движение токенов. По опубликованным первоначальным оценкам, около 87,1% похищенного объёма оставалось в сети, а оставшаяся часть была связана с переводами на MEXC.

19 октября - сеть возобновила формирование ticks, а исправленный веб-кошелёк версии 4.26.4 стал центральной частью рекомендаций пользователям. 20 октября - команда объявила о согласовании механизма восстановления Computor quorum и начале приёма заявлений. В отдельных публикациях сообщалось о первых возвратах подтверждённым владельцам, но без полной сверенной суммы всех выплат.

21-25 октября - разработчики и независимые издания уточняли модель защиты, особенности блокировки ещё не похищенных активов и необходимость дополнительных доказательств. На момент подготовки материала 28 октября 2026 года мы опираемся на общедоступные правила портала и опубликованные сообщения, а не обещаем окончательные результаты расследования или конкретный размер возврата каждому заявителю.

Если заявка отклонена или обнаружен конфликт владельцев

Самая сложная ситуация возникает, когда у одного адреса оказываются два заявителя, и каждый способен представить действительную подпись. Из-за слабости исходного секрета техническая возможность подписать сообщение не гарантирует законное происхождение средств. При отрицательном решении не стоит сразу создавать вторую идентичную заявку и менять объяснение обстоятельств. Сначала сохраните официальный статус, формулировку причины и дату решения, а затем выясните предусмотренный способ обжалования или дополнения документов.

Полезно пересмотреть свои доказательства как независимый проверяющий. Подтверждена ли связь между исходным адресом и покупкой QU? Можно ли сопоставить суммы с датами, биржевыми операциями, предыдущими переводами и публичными записями? Нет ли противоречий в хронологии, особенно если адрес создавался давно или использовался несколькими устройствами? Недостаточная полнота сведений не равна мошенничеству, но заявителю придётся объяснить пропуски без выдуманных документов и показаний.

Никогда не используйте услуги посредника, который за процент обещает «решить вопрос с computors». Попросите официальный канал подтвердить, существует ли апелляция и какие документы принимаются. При существенном ущербе разумно получить независимую юридическую консультацию в своей юрисдикции, но консультация не даёт доступа к чужим средствам и не гарантирует изменения технического решения. Все обращения стоит вести спокойно и документировать, не раскрывая публично личные данные и секреты.

Три сценария действий для владельца: примеры без реальных адресов

Сценарий первый: пользователь в 2025 году создал Qubic Wallet в Safari на Mac, регулярно пополнял адрес, а после новостей обнаружил неизменный баланс. Сохранённые средства не доказывают, что фраза безопасна. Он проверяет публичную identity, устанавливает исправленную версию, генерирует совершенно новый секрет на подходящем устройстве и определяет, доступна ли обычная миграция. Если старый адрес включён в защитный список, вместо бесполезных попыток перевода он следует процедуре reclaim.

Сценарий второй: владелец видит незнакомый вывод QU в ночь атаки. Он фиксирует историю, не пересылает seed, находит официальную страницу проверки и создаёт адрес назначения. Историю пополнений и сведения с биржи он собирает заранее. При подаче заявления использует именно публичные идентификаторы и штатную подпись, затем отслеживает период рассмотрения. Даже при совпадении его истории с общей хронологией инцидента возврат не следует считать состоявшимся, пока новые средства действительно не поступили.

Сценарий третий: человек устанавливал Qubic Wallet недавно на другом устройстве и уверен, что использовал версию 4.26.4 или позднее. Это обнадёживает, но полезно проверить источник установки и то, был ли создан новый секрет, а не импортирован старый. Если в новую программу был внесён прежний уязвимый seed, риск сохраняется. Если при этом не было перевода на старый адрес и официальный список не содержит identity, отдельная заявка может быть не нужна: приоритетом остаётся стандартная защита учётных данных и резервной копии.

После возврата: как убедиться, что восстановление завершено

Когда в портале появляется положительный статус, не ограничивайтесь коротким уведомлением или скриншотом из чата. Откройте новую identity в официальном кошельке и независимо проверьте зачисление по записи в сети. Сопоставьте сумму с заявленной категорией активов и убедитесь, что средства попали именно на заранее созданный безопасный адрес. При неполном или спорном зачислении зафиксируйте факты и обратитесь через тот же официальный маршрут, а не переходите по новым ссылкам из личных сообщений.

После поступления активов проверьте сохранность резервной копии нового секрета, обновления устройства и наличие ненужных программ удалённого доступа. Старую слабую фразу следует считать скомпрометированной на постоянной основе: не переносите её в другие приложения, не используйте как источник новых кошельков и не оставляйте на её адресе средства на будущее. Если одно устройство применялось для нескольких криптосервисов, проведите отдельную ревизию безопасности, не предполагая автоматически, что все другие ключи были затронуты той же ошибкой.

Результат восстановления полезно сохранять в личном журнале: исходный публичный адрес, новый адрес, дата заявки, отметки проверки, дата и сумма фактического получения. Такие сведения помогают в будущих разбирательствах и учёте операций. Они также защищают от повторного мошенничества: когда кто-то через несколько недель напишет о «недополученной компенсации», вы сможете сверить это утверждение с реально состоявшимися операциями, не раскрывая закрытые ключи.

Частые вопросы о Qubic, QU и возврате средств

Нужно ли создавать новый кошелёк, если QU не пропали? Да, если первоначальная фраза создана уязвимым клиентом или вы не можете исключить такой сценарий. Исправление программы не меняет уже существующий секрет.

Можно ли проверить уязвимость, введя seed на сайте? Нет. Проверяйте публичную 60-символьную identity. Секретный набор символов должен оставаться известным только владельцу.

Что означает попадание в официальный список? Адрес находится в предусмотренном проектом контуре обработки. Баланс мог быть похищен или превентивно защищён; точный статус выясняется по правилам портала.

Могу ли я сам отменить перевод злоумышленника? Обычный перевод в блокчейне не отменяется нажатием кнопки. В этом случае возврат опирается на особый согласованный механизм Qubic и проверку права владения.

Нужно ли оплачивать комиссию для компенсации? Официальный портал предупреждает, что команда не взимает плату за recovery. Требования отправить монеты неизвестному лицу - красный флаг.

Если у меня есть подпись исходного адреса, вернут ли средства сразу? Нет. При предсказуемом секрете подпись не доказывает исключительное владение, поэтому могут понадобиться дополнительные сведения и рассмотрение.

Когда закончится приём заявок? Опубликованный крайний срок - 1 мая 2027 года. Следите за официальными обновлениями: правила процедуры могут уточняться.

Почему заморозили баланс, который никто не украл? Проект предусмотрел защитные ограничения для идентификаторов, чьи секреты могли быть рассчитаны атакующим; снятие ограничений связано с проверкой заявителя.

Можно ли продолжать пользоваться старой seed-фразой после обновления? Нет. Если она считается уязвимой, она должна быть заменена новой фразой с переносом активов на новую identity.

Гарантированы ли компенсации? Нет универсальной гарантии для любого заявления. Окончательное решение и применение возврата зависят от проверки и механизма, согласованного участниками сети.

Вывод: главный урок инцидента Qubic

Взлом Qubic показал, что длинная секретная фраза сама по себе не гарантирует стойкости: её безопасность начинается в момент генерации. Для владельца QU наиболее важные действия - определить происхождение старой identity, создать новую в исправленном кошельке, проверить список затронутых адресов и при необходимости обратиться через официальный механизм reclaim. Не перепутайте публичный идентификатор и секретную фразу, не отправляйте ключи незнакомцам и не платите за обещания ускорить возврат.

История ещё развивается. Публичные заявления о числе адресов, объёме выведенных токенов, заморозке и первых возмещениях необходимо отделять от индивидуального результата каждой заявки. Поскольку срок подачи заявлений заканчивается 1 мая 2027 года, сохраняйте подтверждения сейчас и проверяйте правила на официальном портале непосредственно перед действиями. Материал носит образовательный характер и не заменяет техническую поддержку проекта или юридическую консультацию по спорным требованиям.

Официальные источники и полезные ссылки

• Официальный портал Qubic Fund Reclaim
• Cointelegraph: восстановление Qubic и сроки заявок
• CryptoSlate: дополнительные проверки права собственности
• Crowdfund Insider: состояние восстановления на 25 октября

Читайте также в Криптоакадемии BarbadosNews: как отозвать разрешения смарт-контрактов. Этот метод полезен для отдельных угроз Web3, но не заменяет смену слабой seed-фразы Qubic.