Компанія Qubic призупинила роботу свого блокчейну першого рівня після того, як зловмисник, використовуючи вразливість у системі безпеки гаманця, викрав близько 2,94 трильйона токенів QU на суму $1,4 мільйона з понад 1400 рахунків.
Згідно із заявою основної команди Qubic від 18 жовтня, зловмисник атакував гаманці, чиї резервні сід-фрази були згенеровані з недостатнім ступенем випадковості, що зробило їхні закриті ключі вразливими для виявлення.
Роботу мережі було призупинено на позначці 85 371 949, щоб запобігти подальшому переміщенню викрадених токенів. Компанія Qubic заявила, що 87,1% викрадених коштів залишилися в мережі на момент зупинки роботи, а решта 12,9% надійшли на криптовалютну біржу MEXC.
Згідно з інформацією проєкту, біржа заблокувала рахунок отримувача приблизно через годину.
Компанія Qubic поки не оголосила, коли відновиться робота її блокчейну, оскільки питання про повернення викрадених активів очікує рішення операторів мережі, відомих як Computors.
Уразливість гаманця Qubic пов'язана зі слабкою генерацією початкового значення
Атака використала вразливість у способі генерації резервних ключів (seed) у деяких гаманцях Qubic, які використовуються для отримання закритих ключів, що контролюють криптовалютні активи.
Слабка випадковість під час генерації початкового значення може спростити відновлення закритих ключів, дозволяючи зловмиснику отримати доступ до гаманця, не отримавши безпосередньо від власника фразу відновлення.
Компанія Qubic виділила кілька категорій зачеплених гаманців на основі пристрою, браузера та застосунку, використаних під час створення резервної фрази.
Проблема торкнулася гаманців, створених через будь-який браузер на iPhone чи iPad до 18 жовтня 2026 року, а також сід-фраз, створених через Safari на комп'ютерах Mac до тієї ж дати.
Уразливість поширювалася на початкові значення, згенеровані за допомогою застосунку Qubic для iOS до липня 2025 року.
У проєкті заявили, що проблема виникла в програмному забезпеченні гаманця і не пов'язана з компрометацією базового протоколу блокчейну.
Згідно з оновленням безпеки проєкту, розробники виправили помилку генерації сід-фрази у веб-гаманці версії 4.26.4.
Повідомляється, що в результаті внесених змін функцію Math.random() у JavaScript було замінено на crypto.getRandomValues(), призначену для генерації криптографічно захищених випадкових значень.
Метод Math.random() у JavaScript не призначений для генерації закритих ключів або інших криптографічних секретів, оскільки його результат не забезпечує гарантій безпеки, необхідних для таких операцій.
Хоча внесені виправлення стосуються методу генерації нових сід-фраз для гаманців, проєкт не довів безпеку фраз відновлення, створених за допомогою вразливого програмного забезпечення.
Компанія Qubic заявила, що опублікує результати повного технічного розслідування після затвердження плану відновлення.
Qubic заморозила викрадені токени, а біржі призупинили перекази.
Через зупинку мережі більша частина викрадених токенів заморожена, поки команда розробників вивчає зачеплені гаманці та готує пропозиції щодо їх відновлення.
Згідно з даними, опублікованими компанією Qubic, на момент припинення обробки транзакцій у блокчейні залишалося приблизно 2,56 трильйона QU.
Решту 379,26 мільярда QU було переведено в MEXC, де доступ до рахунку отримувача було обмежено після звернення до біржі.
Згодом MEXC призупинила внесення та виведення коштів у QUBIC на прохання проєкту. Це обмеження не дозволяло клієнтам переміщувати токени через зачеплену мережу, поки тривало розслідування інциденту.
Криптовалютна біржа XT ввела аналогічне призупинення 18 жовтня, посилаючись на оновлення та технічне обслуговування гаманців. Оголошення стосувалося послуг поповнення та виведення коштів як у мережах QUBIC, так і в KASPLEX.
Незважаючи на те, що обмеження перешкоджали переказам через ці сервіси, компанія Qubic не підтвердила, що якісь із викрадених токенів були повернуті їхнім первісним власникам.
Основна група займається виявленням скомпрометованих гаманців та підготовкою пропозицій щодо відновлення для голосування серед користувачів мережі.
Учасники комп'ютерного процесу Qubic ухвалять рішення про те, як слід розпорядитися замороженими коштами в межах запропонованих заходів щодо відновлення.
У межах проєкту поки не повідомлялося, чи включатиме відновлення скасування несанкціонованих переказів, повернення заморожених токенів через інший механізм чи окрему компенсацію постраждалим користувачам.
Остаточний план відновлення ще не затверджено.
Читайте також:
