Qubic остановил сеть после кражи $1,4 млн из кошельков со слабыми seed-фразами
Блокчейн Qubic остановил работу в воскресенье после того, как злоумышленник использовал слабо сгенерированные seed-фразы и вывел около $1,4 млн с более чем 1400 аккаунтов. По данным проекта, 87,1% украденных средств остаются в сети и заморожены.
Главное в цифрах
- Похищено: около $1,4 млн
- Пострадавших аккаунтов: более 1400
- Заморожено в сети: 87,1% средств
- Отправлено на MEXC: 12,9% средств
- Похищено QU: 2,94 трлн
По словам проекта, сеть была остановлена на тике 85 371 949 и на момент публикации оставалась на паузе. Уязвимость затрагивала кошельки, созданные в любом браузере на iPhone или iPad, в Safari на Mac до 18 октября 2026 года и в iOS-приложении Qubic до июля 2025 года. Всего было похищено 2,94 трлн QU.
Qubic заявил, что 87,1% украденных средств не покинули сеть Qubic и заморожены на месте. Оставшиеся 12,9% были отправлены на биржу MEXC, команда которой заблокировала получающий счёт примерно через час.
Причина и исправление
Уязвимость связана с генерацией seed-фраз. Как видно в коммите на GitHub для версии 4.26.4, разработчики заменили функцию Math.random() в JavaScript, которая не подходит для создания криптографических секретов, на crypto.getRandomValues(). Исправление внесено в веб-кошелёк.
Похожая история произошла и с другими проектами: в июле Coldcard сообщила о краже средств из кошельков, seed которых ослабила ошибка в прошивке. В 2023 году похожие дефекты затронули расширение Trust Wallet для браузера и инструмент Libbitcoin Explorer.
Что дальше
Основная команда Qubic определяет затронутые кошельки и готовит варианты возврата средств. Решение о судьбе замороженных средств примут Computors, но голосование пока не назначено. Полный технический отчёт обещан после утверждения плана возврата. Срок перезапуска сети не объявлен.
Капитализация токена Qubic на момент написания составляла около $62,6 млн по данным CoinGecko.
