Qubic перезапустила свой блокчейн первого уровня и начала возвращать средства владельцам подтвержденных кошельков после того, как уязвимость в генерации сид-фразы позволила злоумышленнику вывести около 1,4 миллиона долларов в токенах QU с 1404 учетных записей.
- Компания Qubic возобновила работу блокчейна после того, как уязвимость в кошельке привела к краже токенов QU на сумму около 1,4 миллиона долларов.
- Компьютерный комитет проекта одобрил соглашение о возврате средств, и компания Qubic заявляет, что первоначальные средства поступили к подтвержденным владельцам.
- В результате октябрьской атаки пострадали 1404 электронных кошелька, а объем транзакций составил приблизительно 2,94 триллиона квачных единиц.
- Пользователям, создавшим веб-кошельки до версии 4.26.4, необходимо создать новые кошельки, даже если их балансы не были затронуты.
- Пострадавшие держатели могут подавать заявки на возмещение убытков до 1 мая 2027 года, используя официальный портал проекта.
В заявлении о восстановлении сети X от 20 октября компания Qubic сообщила, что ее кворум на вычислительном сервере одобрил предложенные меры по восстановлению, что позволило сети возобновить нормальную работу и открыло процесс подачи заявок для пострадавших пользователей. Первоначальные средства уже были возвращены, хотя проект не раскрыл, сколько было выплачено и сколько заявок было одобрено.
Обработка транзакций возобновилась после приостановки, введенной 18 октября для предотвращения дальнейшего перемещения украденных токенов. Пострадавшие пользователи могут подать заявки на возмещение через специальную платформу проекта до 1 мая 2027 года.
Компьютеры подтвердили восстановление работы Qubic после сбоя сети.
Согласно предыдущему обновлению безопасности Qubic, атака произошла в период с конца 17 октября по начало 18 октября. Злоумышленник получил доступ к кошелькам, сгенерированным с использованием недостаточно случайных начальных значений восстановления, и завладел примерно 2,94 триллиона QU.
Компания Qubic приостановила работу блокчейна на отметке 85 371 949. Эта пауза дала операторам время ограничить переводы, пока команда изучала затронутые адреса и готовила предложение по восстановлению работы вычислительных узлов — участников, ответственных за принятие консенсусных решений.
Ранее проект подсчитал, что на момент остановки в сети оставалось 87,1% украденных токенов. Остальные 12,9% поступили на криптовалютную биржу MEXC, которая, по словам Qubic, заблокировала счет получателя примерно в течение часа.
Как ранее сообщал crypto.news, первоначальная реакция привела к приостановке работы блокчейна, пока операторы рассматривали способы восстановления активов. На тот момент план восстановления еще не получил одобрения.
В заявлении от 20 октября подтверждалось, что кворумное голосование состоялось. Компания Qubic сообщила, что пострадавшие средства были переведены на защищенный эскроу-счет во время приостановки работы, что позволило произвести выплаты подтвержденным владельцам.
Его обозреватель блокчейна предоставляет ссылки на тики, находящиеся за пределами исходной точки остановки. Точное время перезапуска не удалось установить независимо на основе общедоступного текста обозревателя.
Даже после исправления программного обеспечения старые сид-фразы кошельков Qubic остаются уязвимыми.
Уязвимость касалась генерации сид-фразы кошелька, а не сообщалось о взломе механизма консенсуса блокчейна. Недостаточная случайность сделала некоторые фразы восстановления предсказуемыми, что потенциально позволило злоумышленнику восстановить учетные данные, управляющие затронутыми аккаунтами.
В первоначальном сообщении Qubic об инциденте было указано, что среди затронутых категорий были сгенерированные через браузеры на iPhone и iPad, Safari на компьютерах Mac и более старые версии приложения для iOS.
В последнем варианте рекомендаций проекта содержится более прямолинейная информация.
«Если вы создали свой кошелек в веб-кошельке Qubic до версии 4.26.4 (выпущенной 19 октября), считайте его небезопасным, даже если ваши средства никогда не использовались», — предупредила команда.
Компания Qubic поддерживает официальный код своего кошелька на GitHub и заявила, что в версии 4.26.4 устранена уязвимость, связанная с генерацией сид-фразы. Однако обновление приложения не заменяет фразу восстановления, сгенерированную с помощью уязвимого программного обеспечения.
Пользователям необходимо установить обновленный кошелек, сгенерировать совершенно новую фразу восстановления и перевести оставшиеся средства на новый адрес. Продолжение использования старой фразы восстановления приведет к раскрытию тех же учетных данных.
В ходе отдельного расследования безопасности Ledger, проведенного в октябре , была выявлена несанкционированная аппаратная имплантация в одном из затронутых устройств. В отличие от уязвимости программного обеспечения Qubic, в том случае речь шла о предполагаемом физическом вмешательстве в кошелек, распространяемый через реселлера.
Для подачи заявления на возмещение средств требуются доказательства, помимо подписей на кошельке.
Официальная платформа Qubic для возврата средств позволяет пострадавшим пользователям проверить адрес, подать заявку и отслеживать ее статус.
Заявителям необходимы данные об авторизованном источнике, вновь сгенерированные данные о получателе, подписанное сообщение и подтверждающие документы, указывающие на право собственности.
На портале поясняется, что одних только подписей кошелька недостаточно для разрешения споров о праве собственности, поскольку злоумышленник, способный воспроизвести скомпрометированную сид-фразу, может сгенерировать ту же самую действительную подпись.
В качестве подтверждающих доказательств могут служить квитанции о выводе средств с биржи, записи о закрытых транзакциях или отслеживание средств с другого кошелька, который, как доказано, контролируется заявителем. Доступна дополнительная проверка личности, но платформа заявляет, что она не является обязательной.
Компания Qubic предостерегла пользователей от самозванцев, предлагающих помощь через личные сообщения. Команда заявила, что никогда не будет запрашивать фразы восстановления или отправлять пользователям личные сообщения с просьбой подать заявки на возмещение.
Ранее обнаруженные ошибки в исходных данных кошелька показывают, почему необходима миграция.
Слабая генерация начальных значений затронула и другие криптовалютные кошельки. В июле 2026 года компания Coldcard сообщила о проблеме со случайностью, связанной с прошивкой, которая, как сообщается, затронула сотни биткоин-кошельков.
Последний инцидент вызвал опасения, аналогичные тем, что наблюдались в случае уязвимости Libbitcoin Explorer в 2023 году, когда злоумышленники смогли предсказать определенные начальные значения кошелька и потенциально получить доступ к затронутым средствам.
Как обсуждалось в предыдущем отчете, оба случая показали, что риски безопасности могут сохраняться даже после исправления базового программного обеспечения, поскольку учетные данные, сгенерированные с использованием уязвимых версий, могут оставаться скомпрометированными, если пользователи их не заменят. Компания Qubic заявила, что планирует опубликовать полный технический отчет, объясняющий обстоятельства инцидента, произошедшего в октябре.