Хакер похитил $1,3 млн из кошельков Qubic через уязвимость сид-фраз на устройствах Apple

Главное:

• Хакер вывел 2,94 трлн $QUBIC (около $1,3 млн) из 1 404 кошельков в блокчейне Qubic.
• Он воспользовался тем, что сид-фразы на устройствах Apple генерировались с недостаточной случайностью и их можно было предсказать.
• Сеть остановлена: 87,1% средств заморожены в блокчейне, остальные 12,9% заблокировала биржа MEXC.

Атака началась 17 октября в 23:42 UTC. За следующие 104 минуты злоумышленник опустошил 1 404 кошелька в сети Qubic и к 01:26 UTC 18 октября собрал на семи адресах 2 939 606 531 944 $QUBIC – около $1,3 млн по курсу на тот момент. Об инциденте сообщила команда проекта.

Сам блокчейн при этом никто не взламывал. Хакер не перебирал все возможные ключи подряд – он восстановил узкий набор предсказуемых сид-фраз и проверил, на каких из них лежат деньги.

Почему сид-фразы Qubic на устройствах Apple оказались предсказуемыми

Сид-фраза в Qubic – строка из 55 символов, из которой выводятся ключи кошелька. Чтобы ее нельзя было подобрать, генератор должен брать по-настоящему случайные данные. На части устройств Apple этого не происходило: код кошелька опирался на функцию Math.random(), которая для криптографии не годится.

• Сид-фразы, созданные в любом браузере на iPhone или iPad до 18 октября 2026 года.
• Сид-фразы, созданные в Safari на Mac до 18 октября 2026 года.
• Сид-фразы, созданные в iOS-приложении Qubic до июля 2025 года.

Опустошены были не все кошельки из этих групп, но разработчики считают уязвимыми и уцелевшие. Уже 18 октября команда выпустила версию кошелька 4.26.4: в ней Math.random() заменили на crypto.getRandomValues(). Обновление защищает только новые сид-фразы – старые остаются под угрозой.

Как Qubic остановил сеть и заморозил украденные $QUBIC

Валидаторы Qubic, которых в сети называют Computors, экстренно остановили блокчейн на тике 85 371 949. Транзакции перестали проходить, и хакер больше не мог распоряжаться добычей. Параллельно разработчики успели вывести в безопасное место часть средств с других уязвимых кошельков, до которых злоумышленник еще не добрался.

87,1% похищенных $QUBIC так и не покинули сеть и заморожены в блокчейне. Оставшиеся 12,9% хакер успел отправить на MEXC – биржа заблокировала аккаунт-получатель в течение часа.

MEXC и Bitget приостановили ввод и вывод $QUBIC – в MEXC уточнили, что сделали это по просьбе команды проекта. Стейкинг QEARN атака не затронула. Курс $QUBIC к утру 18 октября упал более чем на 10%.

Вернет ли Qubic деньги владельцам взломанных кошельков

Решения о компенсациях пока нет. Судьбу замороженных средств определит кворум Computors, а команда проекта тем временем устанавливает все пострадавшие адреса и готовит варианты.

Заморозка не означает возврата, – предупредили в Qubic.

Дату перезапуска сети разработчики не назвали. Подробный технический отчет они обещали опубликовать после того, как выберут способ восстановления.

• Подать заявление в полицию, если кошелек был опустошен.
• После перезапуска сети создать новый кошелек в версии 4.26.4 и перевести туда остаток средств.
• Игнорировать предложения «помочь вернуть средства» и никому не сообщать сид-фразу.