Компания Qubic приостановила работу своего блокчейна первого уровня после того, как злоумышленник, используя уязвимость в системе безопасности кошелька, украл около 2,94 триллиона токенов QU на сумму $1,4 миллиона с более чем 1400 счетов.
Согласно заявлению основной команды Qubic от 18 октября, злоумышленник атаковал кошельки, чьи резервные сид-фразы были сгенерированы с недостаточной степенью случайности, что сделало их закрытые ключи уязвимыми для обнаружения.
Работа сети была приостановлена на отметке 85 371 949, чтобы предотвратить дальнейшее перемещение украденных токенов. Компания Qubic заявила, что 87,1% украденных средств остались в сети на момент остановки работы, а оставшиеся 12,9% поступили на криптовалютную биржу MEXC.
Согласно информации проекта, биржа заблокировала счет получателя примерно через час.
Компания Qubic пока не объявила, когда возобновится работа ее блокчейна, поскольку вопрос о возврате украденных активов ожидает решения операторов сети, известных как Computors.
Уязвимость кошелька Qubic связана со слабой генерацией начального значения
Атака использовала уязвимость в способе генерации резервных ключей (seed) в некоторых кошельках Qubic, которые используются для получения закрытых ключей, контролирующих криптовалютные активы.
Слабая случайность при генерации начального значения может упростить восстановление закрытых ключей, позволяя злоумышленнику получить доступ к кошельку, не получив напрямую от владельца фразу восстановления.
Компания Qubic выделила несколько категорий затронутых кошельков на основе устройства, браузера и приложения, использованных при создании резервной фразы.
Проблема затронула кошельки, созданные через любой браузер на iPhone или iPad до 18 октября 2026 года, а также сид-фразы, созданные через Safari на компьютерах Mac до той же даты.
Уязвимость распространялась на начальные значения, сгенерированные с помощью приложения Qubic для iOS до июля 2025 года.
В проекте заявили, что проблема возникла в программном обеспечении кошелька и не связана с компрометацией базового протокола блокчейна.
Согласно обновлению безопасности проекта, разработчики исправили ошибку генерации сид-фразы в веб-кошельке версии 4.26.4.
Сообщается, что в результате внесенных изменений функция Math.random() в JavaScript была заменена на crypto.getRandomValues(), предназначенную для генерации криптографически защищенных случайных значений.
Метод Math.random() в JavaScript не предназначен для генерации закрытых ключей или других криптографических секретов, поскольку его результат не обеспечивает гарантий безопасности, необходимых для таких операций.
Хотя внесенные исправления касаются метода генерации новых сид-фраз для кошельков, проект не доказал безопасность фраз восстановления, созданных с помощью уязвимого программного обеспечения.
Компания Qubic заявила, что опубликует результаты полного технического расследования после утверждения плана восстановления.
Qubic заморозила украденные токены, а биржи приостановили переводы.
Из-за остановки сети большая часть украденных токенов заморожена, пока команда разработчиков изучает затронутые кошельки и готовит предложения по их восстановлению.
Согласно данным, опубликованным компанией Qubic, на момент прекращения обработки транзакций в блокчейне оставалось приблизительно 2,56 триллиона QU.
Оставшиеся 379,26 миллиарда QU были переведены в MEXC, где доступ к счету получателя был ограничен после обращения в биржу.
Впоследствии MEXC приостановила внесение и вывод средств в QUBIC по просьбе проекта. Это ограничение не позволяло клиентам перемещать токены через затронутую сеть, пока проводилось расследование инцидента.
Криптовалютная биржа XT ввела аналогичную приостановку 18 октября, сославшись на обновление и техническое обслуживание кошельков. Объявление касалось услуг пополнения и вывода средств как в сетях QUBIC, так и в KASPLEX.
Несмотря на то, что ограничения препятствовали переводам через эти сервисы, компания Qubic не подтвердила, что какие-либо из украденных токенов были возвращены их первоначальным владельцам.
Основная группа занимается выявлением скомпрометированных кошельков и подготовкой предложений по восстановлению для голосования среди пользователей сети.
Участники компьютерного процесса Qubic примут решение о том, как следует распорядиться замороженными средствами в рамках предложенных мер по восстановлению.
В рамках проекта пока не сообщалось, будет ли восстановление включать в себя отмену несанкционированных переводов, возврат замороженных токенов через другой механизм или отдельную компенсацию пострадавшим пользователям.
Окончательный план восстановления еще не утвержден.
Читайте также:
