Платформа гарантировала пользователям, что во время недоступности блокчейн-сети их средства были переведены на безопасный кошелек эскроу. Такой перевод стал основой успешного восстановления. Тем не менее, проект предупреждает что любые веб-кошельки, созданные до обновления версии 4.26.4 от 19 октября, небезопасны.
Необходимо обновить свой кошелек, перевести все активы на новый безопасный адрес и полностью прекратить использование старых кошельков, — говорится в сообщении.
В основном злоумышленник похитил 2,94 триллиона QU с 1404 кошельков. По данным сети, взлом стал результатом слабости генерации сид-фраз, а не самого протокола Qubic.
В нем указано: «Инцидент произошел из-за того, что эти сид-фразы были слабыми. Это означает, что злоумышленник может создать ту же действительную подпись, что и вы». Хотя теперь подтверждено, что уязвимость в генерации сид-фраз была устранена в последней версии веб-кошелька.
Аналогично, предыдущие инциденты безопасности неоднократно показывали, что недостатки в генерации случайных чисел могут оставлять криптокошельки уязвимыми для атак. В частности, в конце июля хакеры использовали уязвимость в конфигурации прошивки Coldcoin от Coinkite, связанную с мартом 2021 года, чтобы украсть биткойны у пользователей.
Взлом был осуществлён в четыре отдельных волны мошеннических транзакций. Он начался 30 июля 2026 года, когда хакер за 25 минут похитил 594 $BTC (почти 38 млн долларов). В первую очередь угроза безопасности эксплуатировала уязвимость в генерации аппаратной энтропии затронутых криптовалютных кошельков.
Конкретно баг в прошивке Coldcard версии 4.0.1, выпущенной в марте 2021 года, нарушил алгоритм генерации сид-фразы, что привело к формированию фразы восстановления с низкой энтропией. В результате кошельки, настроенные с этой прошивкой, генерировали слабые закрытые ключи, которые можно было легко взломать офлайн.
Ошибка в архитектуре настройки привела к полному краху криптографической безопасности, сократив пространство ключей с 128 бит до всего лишь 40 бит на устаревшем оборудовании. Согласно исследованию Galaxy, общие потери составляют примерно 1 816 $BTC, что эквивалентно почти 116 млн долларов США, и было использовано 5 200 различных адресов.
Сентябрь запомнился двумя крупными криптоэксплойтами
Компания по безопасности блокчейна PeckShield зафиксировала 55 крупных уязвимостей в сентябре, при этом совокупный ущерб составил почти $766,5 млн. Это на 462% больше, чем общая сумма потерь в августе, которая составила $136,3 млн. Основная часть ущерба пришлась на взлом биржи Bitget (потери оцениваются в $387 млн) и инцидент с Liquid Network (потери — $320 млн). Тем не менее, Liquid удалось вернуть $285 млн.
По словам Грейси Чен, генерального директора Bitget, атака была осуществлена благодаря манипуляциям злоумышленника с данными транзакций на бэкенде для обхода процесса авторизации. Компания компенсирует ущерб за счет Фонда защиты пользователей, баланс которого превышает $464 млн. Что касается инцидента с Liquid Network, то было незаконно выведено 4000 $BTC.
Инцидент с Qubic добавляется к растущему списку нарушений безопасности, затрагивающих пользователей криптовалют, биржи и провайдеров кошельков. Хотя причины и масштабы этих утечек различаются, они подчеркивают важность безопасной генерации ключей, быстрого реагирования на инциденты и прозрачных процедур восстановления.
Для Qubic первоочередной задачей является обработка заявок, одновременно обеспечивая пользователям переход к безопасным идентификаторам кошельков. Результаты этого процесса определят, какая часть украденных средств может быть возвращена и насколько эффективно сеть восстановит доверие пользователей.
cryptopolitan.com
