Qubic остановил блокчейн после кражи $1,3 млн: слабые сид-фразы и 1404 кошелька

104 минуты, которых хватило на 1404 кошелька

По хронологии, которую опубликовала команда Qubic, атака длилась с 23:42 UTC 17 октября до 01:26 UTC 18 октября — около 104 минут. За это время злоумышленник добрался до 1404 пользовательских кошельков и вывел на свои адреса примерно 2,94 трлн QU. По курсу на момент инцидента это около $1,3 млн; Cointelegraph оценивал ущерб в сумму до $1,4 млн.

Когда атаку заметили, операторы сети — в Qubic их называют Computors — договорились об экстренной остановке блокчейна на отметке 85 371 949 тиков. Транзакции не обрабатываются, поэтому похищенные токены нельзя ни переместить, ни продать. На момент публикации материалов сеть всё ещё стояла на паузе, сроки перезапуска не объявлены.

Причина — не взлом блокчейна, а предсказуемая случайность

Разработчики связали инцидент с «недостаточной случайностью» при генерации сид-фраз. Часть фраз восстановления оказалась слабее, чем должна быть, и атакующему не понадобилось ломать консенсус или добираться до устройств жертв: достаточно было воспроизвести исходные значения генератора и восстановить ключи.

Что именно пошло не так, видно по коммиту на GitHub для версии 4.26.4: при создании сид-фраз функцию JavaScript Math.random(), не предназначенную для криптографических секретов, заменили на криптографически стойкую crypto.getRandomValues(). Команда заявила, что ошибку исправили и новые слабые сид-фразы больше не создаются.

Под удар попали фразы восстановления, созданные:

• на iPhone или iPad в любом браузере — до 18 октября 2026 года;
• на компьютерах Mac в браузере Safari — до 18 октября 2026 года;
• в приложении Qubic для iOS — до июля 2025 года.

Кошельки, созданные на других платформах и в других браузерах, в сообщениях проекта не упоминаются.

Где застряли деньги

Остановка сети сработала как заморозка. По данным команды, 87,1% украденного — около 2,56 трлн QU — так и не покинули Qubic и остаются на заблокированных адресах. Остальные 12,9%, примерно 379 млрд QU, злоумышленник успел отправить на MEXC, но аккаунт-получатель там заморозили в течение примерно часа.

Qubic разослала уведомления и другим площадкам. Биржи приостановили ввод и вывод QUBIC: в MEXC объяснили это запросом проекта, Bitget сослалась на техническое обслуживание кошельков. Сколько торговых площадок всего ограничило операции с токеном, команда не раскрывала.

Реакция рынка оказалась локальной

Вечером 18 октября QU стоил около $0,000000428, потеряв за сутки порядка 11%. Капитализация токена на тот момент составляла около $62,6 млн по данным CoinGecko. На более широком рынке инцидент не отразился: утром 19 октября биткоин торговался около $82 415, Ethereum — около $2 418, индекс страха и жадности поднялся до 59 пунктов, а суточные ликвидации на $317,48 млн затронули обе стороны рынка после ночного разворота. Связи между этими движениями и остановкой Qubic в материалах не прослеживается.

Решение о средствах принимают операторы, а не команда

Судьбу замороженных токенов определит кворум Computors. Основная команда сейчас устанавливает все затронутые кошельки и готовит варианты для голосования. Параллельно в Discord-сервере проекта идёт опрос сообщества о механизме и сроках компенсации — его результаты должны учесть операторы. Пострадавшим рекомендуют обратиться в правоохранительные органы своей страны и указать идентификатор кошелька, сумму потерь и ссылку на транзакцию в Qubic Explorer. Подробный технический отчёт команда обещает опубликовать после того, как решится вопрос с возвратом средств. На запрос Cointelegraph о комментарии в Qubic оперативно не ответили.

Сама возможность остановить блокчейн голосованием операторов — особенность архитектуры Qubic. Это сеть первого уровня без комиссий, построенная на механизме Useful Proof of Work, где вычисления майнеров идут на обучение нейросети Aigarth. Быстрая пауза спасла большую часть средств, но она же показывает, насколько управление сетью сосредоточено в руках ограниченного круга участников. Qubic уже показывала, как этот ресурс работает вовне: в 2025 году команда заявила о планах захватить 51% хешрейта Monero, а затем панель Monero Consensus Status подтвердила реорганизацию цепочки со сбросом 60 блоков.

Один класс ошибок, повторяющийся не первый год

Слабая энтропия — не экзотика. В июле Coldcard раскрыла, что сид-фразы части кошельков ослабила ошибка прошивки; в августе Galaxy Research сообщила о краже минимум 1778,84 BTC на $112,7 млн из-за сбоя программного генератора энтропии. В 2023 году похожие дефекты нашли в браузерном расширении Trust Wallet и в инструменте Libbitcoin Explorer. Qubic встала в этот же ряд, и отличие здесь не в природе уязвимости, а в том, что сеть смогла заморозить вывод на ходу.

Масштаб таких потерь виден по статистике AMLBot: в третьем квартале на взломы и эксплойты пришлось 19% дел о криптопреступлениях, но 40% заявленного ущерба — по выборке из 250 расследований, открытых с начала года.

Ключевые вопросы по Qubic пока открыты: когда сеть перезапустят, какой вариант восстановления поддержат Computors и получат ли компенсацию держатели, чьи токены ушли на MEXC. Ответы появятся после голосования операторов и публикации технического отчёта.