Qubic остановил сеть после кражи из 1404 кошельков

Подробно

Что произошло с кошельками Qubic?

По заявлению Qubic, злоумышленник переводил средства с уязвимых кошельков с 23:42 UTC 17 октября до 01:26 UTC 18 октября 2026 года. Проект сообщил, что около 2,94 трлн QU вывели из 1404 кошельков. Участники экосистемы независимо собрали список транзакций: в нём 1404 адреса и точная сумма 2 939 606 531 944 QU. Переводы в этом списке идут с 23:42:01 до 01:26:19 UTC, сначала средства поступали на семь собирающих адресов.

Долларовая оценка ($1,3 млн у The Crypto Times и около $1,4 млн у Cointelegraph) - это рыночная стоимость выведенных токенов по курсу QU на разные моменты времени. Это не фиатная выручка злоумышленника и не окончательный ущерб: большая часть средств заморожена.

Корреспондент Trenchbook проверил данные через публичный RPC и собирающие адреса. Проверка подтвердила остановку на тике 85 371 949, совпадение списка из 1404 адресов и общей суммы, а также то, что большая часть активов после сбора не двигалась.

Как злоумышленник получил доступ к сид-фразам Qubic?

По версии Qubic, злоумышленник получил приватные ключи из-за недостаточной случайности при генерации сидов отдельных кошельков. Из открытого кода официального веб-кошелька видно, что до исправления сиды создавались с помощью JavaScript-функции Math.random(). Исправление (pull request №294, коммит «fix: use cryptographically secure seed generation») заменило её на криптографически стойкий источник crypto.getRandomValues().

Документация Mozilla MDN прямо предупреждает о таком риске:

«Math.random() не даёт криптографически стойких случайных чисел. Не используйте их ни для чего, связанного с безопасностью».

Та же ошибка нашлась в официальной TypeScript-библиотеке Qubic, в примере биржевой интеграции. Автор исправления byte-me-pls написал:

«seedGen() в test/sample-exchange.js создавала сиды с помощью Math.random(), а это не криптографически стойкий генератор».

Здесь Math.random() заменили на crypto.randomInt из Node.js. Полный технический отчёт Qubic ещё не опубликован. Поэтому неизвестно, какой была фактическая энтропия уязвимых сидов, как именно их перебирали и с какого момента злоумышленник готовил список ключей.

Чьи кошельки Qubic находятся в зоне риска?

Qubic отнёс к уязвимым такие сиды:

• созданные до 18 октября 2026 года в любом браузере на iPhone или iPad;
• созданные до 18 октября 2026 года в Safari на Mac;
• созданные в старом приложении Qubic для iOS до июля 2025 года.

По рекомендации проекта, такие сиды следует считать скомпрометированными, даже если средства с них ещё не списаны. Исправленная версия кошелька - 4.26.4. Проверить, есть ли адрес среди опустошённых, можно по общественному списку, собранному по on-chain-данным. The Crypto Times отмечает, что в официальном посте Qubic адресов и хешей транзакций не было.

Где сейчас выведенные средства и что сделала MEXC?

По заявлению Qubic, 87,1% выведенных активов (около 2,56 трлн QU) лежат на адресах злоумышленника внутри остановленной сети и перемещаться не могут. Остальные 12,9% (около 379,04 млрд QU), по сообщениям участников экосистемы, ушли на один депозитный адрес биржи MEXC. По их же данным, биржа заблокировала принимающий аккаунт примерно в 01:52 UTC 18 октября; сама MEXC это не подтверждала.

«87,1% выведенных средств так и не покинули сеть Qubic и остаются замороженными. Оставшиеся 12,9% были отправлены на MEXC, команда которой заморозила принимающий аккаунт примерно в течение часа», - говорится в заявлении Qubic.

MEXC публично подтвердила только приостановку депозитов и выводов:

«По просьбе команды проекта Qubic (QUBIC) MEXC приостановила ввод и вывод QUBIC».

Блокировку конкретного аккаунта и сумму 379,04 млрд QU биржа отдельным заявлением не подтверждала. По независимой проверке, один из собирающих адресов позже перевёл 94 млрд QU на восьмой адрес. Поэтому в поздних сообщениях упоминаются восемь адресов злоумышленника, а не семь.

Когда перезапустят сеть Qubic и вернут ли деньги?

Сеть остановили Computors - узлы, которые обрабатывают транзакции и образуют кворум Qubic. Они согласованно остановили её на тике 85 371 949. По данным публичного обозревателя, 19 октября этот тик всё ещё последний.

Выбор способа восстановления или возврата замороженных активов Qubic передал кворуму Computors. Полный технический отчёт проект обещает опубликовать после того, как план будет согласован. Дата перезапуска сети, механизм компенсации и юридический статус средств на MEXC пока не объявлены.

The Crypto Times считает, что эпизод показал: сравнительно небольшая группа Computors способна остановить всю сеть и участвовать в решении судьбы замороженных средств пользователей. По оценке издания, доверие к проекту будет зависеть от возврата средств и от того, как быстро перезапустят сеть.

Кто стоит за атакой и возбуждено ли уголовное дело?

Личность злоумышленника не установлена. Qubic пишет о нём в единственном числе, в некоторых пересказах говорится о нескольких атакующих. Заявлений правоохранительных органов, сведений о возбуждении дела, подозреваемых или обвинениях на 19 октября нет. Позиция злоумышленника неизвестна, существенных опровержений версии Qubic не найдено.

Случались ли похожие атаки раньше?

Уязвимость слабой генерации сидов известна давно. В апреле 2023 года команда Ledger Donjon раскрыла, что у генератора сидов в браузерном расширении Trust Wallet было всего 32 бита энтропии, поэтому все возможные варианты можно было перебрать. Это пример того, как слабая случайность позволяет восстановить приватный ключ, не взламывая сам блокчейн.

В мае 2026 года исследователи Coinspect связали серию списаний из программных кошельков в разных сетях с уязвимостью того же класса. Позднее её назвали Ill Bloom.