Qubic ponownie uruchomił swój blockchain warstwy 1 i rozpoczął zwracanie środków zweryfikowanym właścicielom portfeli po tym, jak luka w generowaniu seedów pozwoliła atakującemu na wyprowadzenie około 1,4 miliona dolarów w tokenach QU z 1404 kont.
Podsumowanie
- Qubic wznowił działalność blockchaina po tym, jak luka w portfelu doprowadziła do kradzieży około 1,4 miliona dolarów w tokenach QU.
- Komitet Computorów projektu zatwierdził porozumienie w sprawie odzyskania środków, a Qubic twierdzi, że początkowe środki dotarły do zweryfikowanych właścicieli.
- Październikowy atak dotknął 1404 portfeli i obejmował około 2,94 biliona QU.
- Użytkownicy, którzy utworzyli portfele internetowe przed wersją 4.26.4, muszą wygenerować nowe portfele, nawet jeśli ich salda pozostały nietknięte.
- Dotknięci posiadacze mogą składać roszczenia o odzyskanie środków do 1 maja 2027 r. za pośrednictwem oficjalnego portalu projektu.
W ogłoszeniu o odzyskaniu środków z 20 października na X, Qubic poinformował, że jego komitet Computorów zatwierdził ustalenia dotyczące odzyskania środków, co pozwoliło sieci wznowić normalne działanie i otworzyć proces składania roszczeń dla dotkniętych użytkowników. Początkowe środki zostały już zwrócone, choć projekt nie ujawnił, ile wypłacono ani ile roszczeń zatwierdzono.
Łańcuch wznowił przetwarzanie po zatrzymaniu nałożonym 18 października, aby zapobiec przemieszczaniu kolejnych skradzionych tokenów. Dotknięci użytkownicy mają czas do 1 maja 2027 r. na złożenie roszczeń za pośrednictwem wyznaczonej platformy do odzyskiwania środków projektu.
Computorzy zatwierdzają odzyskanie środków Qubic po zatrzymaniu sieci
Atak miał miejsce między późnym 17 października a wczesnym 18 października, zgodnie z wcześniejszym komunikatem bezpieczeństwa Qubic. Atakujący uzyskał dostęp do portfeli wygenerowanych z niewystarczająco losowymi seedami odzyskiwania, zdobywając około 2,94 biliona QU.
Qubic zatrzymał blockchain na ticku 85 371 949. Pauza dała operatorom czas na ograniczenie transferów, podczas gdy zespół badał dotknięte adresy i przygotowywał propozycję odzyskania środków dla Computorów, uczestników odpowiedzialnych za decyzje konsensusowe.
Projekt wcześniej szacował, że 87,1% skradzionych tokenów pozostało w sieci, gdy ją zatrzymano. Pozostałe 12,9% dotarło do giełdy kryptowalut MEXC, która według Qubic zamroziła konto odbiorcy w ciągu około godziny.
Jak wcześniej informował crypto.news, początkowa reakcja pozostawiła łańcuch zawieszony, podczas gdy operatorzy zastanawiali się, jak odzyskać aktywa. Na tym etapie plan odzyskania środków nie został zatwierdzony.
Ogłoszenie z 20 października potwierdziło, że głosowanie kworum odbyło się w międzyczasie. Qubic poinformował, że dotknięte środki zostały przeniesione do chronionego depozytu powierniczego podczas wyłączenia, co umożliwiło zwrot środków zweryfikowanym właścicielom.
Jego eksplorator blockchaina zawiera odniesienie do ticków wykraczających poza pierwotny punkt zatrzymania. Dokładny czas ponownego uruchomienia nie mógł zostać niezależnie ustalony na podstawie publicznie dostępnego tekstu eksploratora.
Starsze seedy portfeli Qubic pozostają podatne po poprawce oprogramowania
Luka dotyczyła generowania seedów portfeli, a nie zgłoszonego naruszenia mechanizmu konsensusu blockchaina. Niewystarczająca losowość sprawiła, że niektóre frazy odzyskiwania były przewidywalne, co potencjalnie pozwalało atakującemu na odtworzenie danych uwierzytelniających kontrolujących dotknięte konta.
Pierwotny komunikat Qubic o incydencie wskazywał seedy wygenerowane przez przeglądarki na iPhone'ach i iPadach, Safari na komputerach Mac oraz starsze wersje jego aplikacji iOS wśród dotkniętych kategorii.
Najnowsza rada projektu jest prostsza.
„Jeśli utworzyłeś swój portfel za pomocą portfela internetowego Qubic przed wersją 4.26.4 (wydaną 19 października), traktuj go jako niezabezpieczony, nawet jeśli twoje środki nigdy nie zostały naruszone” – ostrzegł zespół.
Qubic utrzymuje oficjalny kod portfela na GitHubie i podał, że wersja 4.26.4 rozwiązała słabość generowania seedów. Aktualizacja aplikacji nie zastępuje jednak frazy odzyskiwania, która została wygenerowana przy użyciu podatnego oprogramowania.
Użytkownicy muszą zainstalować zaktualizowany portfel, wygenerować całkowicie nową frazę odzyskiwania i przenieść pozostałe środki na nowy adres. Dalsze korzystanie ze starego seeda pozostawiłoby te same dane uwierzytelniające narażone.
Odrębne październikowe śledztwo bezpieczeństwa Ledger zidentyfikowało nieautoryzowany implant sprzętowy w jednym z dotkniętych urządzeń. W przeciwieństwie do słabości Qubic związanej z oprogramowaniem, ten przypadek dotyczył podejrzenia fizycznej ingerencji w portfel dystrybuowany przez resellera.
Roszczenia o odzyskanie wymagają dowodów wykraczających poza podpisy portfela
Oficjalna platforma odzyskiwania środków Qubic pozwala dotkniętym użytkownikom sprawdzić adres, złożyć roszczenie i śledzić jego status.
Wnioskodawcy potrzebują swojej skompromitowanej tożsamości źródłowej, nowo wygenerowanej tożsamości docelowej, podpisanej wiadomości i dodatkowego dowodu własności.
Portal wyjaśnia, że same podpisy portfela nie mogą rozstrzygnąć sporów o własność, ponieważ atakujący, który może odtworzyć skompromitowany seed, może wygenerować ten sam ważny podpis.
Dodatkowe dowody mogą obejmować potwierdzenia wypłat z giełdy, prywatne zapisy transakcji lub ślad finansowania z innego portfela, który jest w sposób wykazany kontrolowany przez wnioskodawcę. Dostępna jest opcjonalna weryfikacja tożsamości, ale platforma twierdzi, że nie jest ona obowiązkowa.
Qubic ostrzegł użytkowników przed oszustami oferującymi pomoc za pośrednictwem prywatnych wiadomości. Zespół oświadczył, że nigdy nie będzie prosić o frazy odzyskiwania ani inicjować bezpośrednich wiadomości z prośbą o składanie roszczeń.
Wcześniejsze wady seedów portfeli pokazują, dlaczego migracja jest konieczna
Słabe generowanie seedów dotknęło inne portfele kryptowalutowe. W lipcu 2026 r. Coldcard ujawnił problem losowości związany z firmware, który według doniesień naraził setki portfeli Bitcoin.
Wcześniejszy raport o incydencie Qubic omawiał ten przypadek wraz z podatnością Libbitcoin Explorer z 2023 r., która pozwalała atakującym przewidywać określone seedy portfeli.
W każdym przypadku zastąpienie podatnego oprogramowania nie czyniło automatycznie wcześniej wygenerowanych danych uwierzytelniających bezpiecznymi. Qubic poinformował, że później opublikuje pełny raport techniczny dotyczący październikowego incydentu.
