Разработчики Qubic остановили свою сеть после атаки, во время которой за 104 минуты были опустошены 1,404 кошелька. С них вывели около 2,94 трлн QUBIC примерно на $1,3–1,4 млн по стоимости на момент инцидента. Переводы прошли с вечера 17 октября до раннего утра 18 октября.
Причиной оказался не взлом самого блокчейна. По данным команды Qubic, проблема была в том, как некоторые кошельки создавали секретные данные для доступа к средствам. Беда в том, что они получались недостаточно случайными и поэтому могли быть предсказаны злоумышленником.
Под угрозой оказались кошельки, созданные на iPhone и iPad в браузерах до 18 октября, в Safari на Mac до этой даты, а также в приложении Qubic для iOS до июля 2025 года. Проект уже исправил создание новых ключей в версии 4.26.4, но старые уязвимые кошельки от этого автоматически безопасными не становятся.
Почему длинный ключ не помог
Qubic использует длинную секретную строку, от которой зависит доступ к кошельку. На первый взгляд, такой ключ должно быть практически невозможно подобрать.
Однако безопасность зависит не только от длины, а от того, насколько непредсказуемо он создаётся. В старой версии кошелька использовался генератор случайных значений, который не предназначен для создания криптографических секретов. В исправленной версии его заменили более надёжным способом генерации.
Иными словами, злоумышленнику не пришлось ломать сеть Qubic или заражать устройства всех 1,404 владельцев по отдельности. Слабое место появлялось ещё в момент создания кошелька.
Большая часть украденного остается неподвижной
После обнаружения атаки операторы Qubic остановили сеть на отметке 85,371,949. Официальный обозреватель сети по-прежнему показывает этот уровень, что подтверждает остановку обработки новых операций.
По данным команды Qubic, около 87,1% похищенных средств остаются на адресах внутри остановленной сети и сейчас не могут быть перемещены. Ещё примерно 12,9% с 379 млрд QUBIC успели отправить на MEXC. Qubic утверждает, что биржа заблокировала соответствующую учётную запись.
Сама MEXC публично подтвердила приостановку ввода и вывода QUBIC по просьбе команды проекта, но отдельно сумму заблокированных средств не называла. Bitget также временно остановил ввод и вывод токена.
Пользователям понадобится новый ключ
Qubic предупреждает: даже если адрес отсутствует среди уже опустошённых кошельков, это ещё не означает, что он безопасен. Владельцам кошельков, созданных на затронутых устройствах, рекомендуют считать старый ключ потенциально скомпрометированным и дождаться официальной инструкции по переносу средств после возобновления сети.
Судьба обездвиженных монет пока не определена. Команда готовит варианты восстановления, после чего операторы сети должны проголосовать за дальнейшие действия. Полный технический отчёт будет опубликован позднее.
Инцидент Qubic показывает простую вещь: надёжность криптокошелька определяется не только сложностью его ключа. Если этот ключ изначально создаётся предсказуемым способом, длинная комбинация символов может дать лишь иллюзию безопасности.
Заместитель главного редактора Happy Coin News. Образование: экономист. Второе образование маркетинг. В криптоиндустрии с 2014 года. Неоднократно выступал в качестве эксперта на РБК. Биткоин — это не спекуляции, а свобода. Но, свобода требует личной ответственности.
