Qubic wstrzymał swój blockchain warstwy 1 po tym, jak atakujący wykorzystał lukę w zabezpieczeniach portfela, aby ukraść około 2,94 biliona tokenów QU o wartości 1,4 miliona dolarów z ponad 1400 kont.
Podsumowanie
- Qubic wstrzymał swój blockchain po tym, jak atakujący wykorzystali słabe ziarna odzyskiwania portfeli, aby ukraść około 1,4 miliona dolarów z ponad 1400 kont.
- Około 87,1% skradzionych tokenów pozostaje zamrożonych w sieci, podczas gdy MEXC ograniczyło konto, które otrzymało pozostałe środki.
- Deweloperzy naprawili lukę w generowaniu ziaren portfela, ale wcześniej dotknięte portfele mogą pozostać podatne na ataki.
- Operatorzy sieci nie zatwierdzili jeszcze planu odzyskiwania, a Qubic nie ogłosił, kiedy operacje blockchain zostaną wznowione.
Zgodnie z oświadczeniem zespołu głównego Qubic z 18 października, atakujący obrał za cel portfele, których ziarna odzyskiwania zostały wygenerowane z niewystarczającą losowością, pozostawiając ich klucze prywatne podatne na odkrycie.
Sieć została zawieszona na ticku 85 371 949, aby zapobiec dalszemu przemieszczaniu skradzionych tokenów. Qubic podał, że 87,1% skradzionych środków pozostało w sieci w momencie zatrzymania operacji, podczas gdy pozostałe 12,9% dotarło do giełdy kryptowalut MEXC.
Według projektu giełda zamroziła konto odbiorcy w ciągu około godziny.
Qubic nie ogłosił, kiedy jego blockchain wznowi operacje, a odzyskanie skradzionych aktywów czeka na decyzję jego operatorów sieci, znanych jako Computors.
Luka w portfelu Qubic powiązana ze słabym generowaniem ziaren
Atak wykorzystał lukę w sposobie, w jaki niektóre portfele Qubic generowały ziarna odzyskiwania, które są używane do wyprowadzania kluczy prywatnych kontrolujących zasoby kryptowalut.
Słaba losowość podczas generowania ziaren może ułatwić rekonstrukcję kluczy prywatnych, pozwalając atakującemu na dostęp do portfela bez bezpośredniego uzyskania od właściciela jego frazy odzyskiwania.
Qubic zidentyfikował kilka kategorii dotkniętych portfeli na podstawie urządzenia, przeglądarki i aplikacji używanych podczas tworzenia ziarna odzyskiwania.
Portfele wygenerowane za pośrednictwem dowolnej przeglądarki na iPhone'ie lub iPadzie przed 18 października 2026 r. zostały dotknięte, podobnie jak ziarna utworzone za pośrednictwem Safari na komputerach Mac przed tą samą datą.
Luka obejmowała również ziarna wygenerowane za pośrednictwem aplikacji Qubic na iOS przed lipcem 2025 r.
Projekt podał, że problem powstał w jego oprogramowaniu portfela i nie obejmował naruszenia bazowego protokołu blockchain.
Według aktualizacji bezpieczeństwa projektu deweloperzy poprawili od tego czasu lukę w generowaniu ziaren w wersji 4.26.4 portfela internetowego.
Zgłoszona zmiana zastąpiła funkcję Math.random() języka JavaScript funkcją crypto.getRandomValues(), która jest zaprojektowana do generowania kryptograficznie bezpiecznych wartości losowych.
Funkcja Math.random() języka JavaScript nie jest przeznaczona do generowania kluczy prywatnych ani innych tajemnic kryptograficznych, ponieważ jej wynik nie zapewnia gwarancji bezpieczeństwa wymaganych dla takich operacji.
Chociaż poprawka dotyczy metody używanej do generowania nowych ziaren portfeli, projekt nie ustalił, że frazy odzyskiwania utworzone w podatnym oprogramowaniu są bezpieczne.
Qubic podał, że opublikuje pełne techniczne śledztwo po ustaleniu swojego planu odzyskiwania.
Qubic zamraża skradzione tokeny, podczas gdy giełdy zawieszają przelewy
Wstrzymanie sieci pozostawiło większość skradzionych tokenów zamrożonych, podczas gdy zespół deweloperski bada dotknięte portfele i przygotowuje propozycje odzyskiwania.
Na podstawie zgłoszonych przez Qubic danych około 2,56 biliona QU pozostało w blockchainie w momencie zatrzymania przetwarzania transakcji.
MEXC następnie zawiesiła depozyty i wypłaty QUBIC na wniosek projektu. Ograniczenie uniemożliwiło klientom przenoszenie tokenów przez dotkniętą sieć w czasie prowadzenia dochodzenia w sprawie incydentu.
Giełda kryptowalut XT wprowadziła podobne zawieszenie 18 października, powołując się na aktualizacje i konserwację portfeli. Ogłoszenie obejmowało usługi depozytowe i wypłat na sieciach QUBIC i KASPLEX.
Chociaż ograniczenia uniemożliwiły transfery za pośrednictwem tych usług, Qubic nie potwierdził, że jakiekolwiek ze skradzionych tokenów zostały zwrócone ich pierwotnym właścicielom.
Zespół podstawowy identyfikuje naruszone portfele i przygotowuje propozycje odzyskania do głosowania przez Computors sieci.
Computors uczestniczą w procesie konsensusu Qubic i zdecydują, jak należy postąpić z zamrożonymi środkami w ramach proponowanych ustaleń dotyczących odzyskania.
Projekt nie ogłosił, czy odzyskanie będzie polegać na odwróceniu nieautoryzowanych transferów, zwróceniu zamrożonych tokenów za pośrednictwem innego mechanizmu, czy na osobnym zrekompensowaniu dotkniętych użytkowników.
Nie zatwierdzono żadnego ostatecznego planu odzyskania.
Wcześniejsze wady seedów portfeli doprowadziły do milionowych strat w kryptowalutach
Exploit Qubic następuje po kilku incydentach bezpieczeństwa kryptowalut związanych ze słabościami w generowaniu seedów odzyskiwania portfeli.
W lipcu 2026 roku producent sprzętowych portfeli Bitcoin Coldcard ujawnił lukę w firmware, która pozwalała atakującym na celowanie w portfele, których frazy odzyskiwania zostały wygenerowane przy użyciu niewystarczającej losowości.
Wadę prześledzono do konfiguracji firmware wprowadzonej w marcu 2021 roku, która powodowała, że dotknięte urządzenia używały przewidywalnego programowego generatora liczb losowych zamiast zamierzonego źródła sprzętowego.
Jak crypto.news wcześniej informował, atakujący ukradli około 594 BTC o wartości 38 milionów dolarów z około 500 portfeli Coldcard podczas 25-minutowego ataku 31 lipca.
Luka zmniejszyła efektywną entropię niektórych seedów portfeli z zamierzonych 128 bitów do około 40 bitów, pozostawiając dotknięte klucze prywatne narażone na próby ich odgadnięcia poprzez powtarzane obliczenia.
Coldcard następnie wydał zaktualizowany firmware portfela 20 sierpnia, wprowadzając dodatkowe zabezpieczenia, które wymagały od użytkowników wniesienia własnej losowości podczas generowania nowych fraz odzyskiwania.
Producent ostrzegł, że instalacja zaktualizowanego oprogramowania nie naprawi seedów utworzonych w podatnych wersjach firmware. Dotkniętym posiadaczom polecono wygenerowanie nowych portfeli i przeniesienie swoich Bitcoinów.
Podobne problemy dotknęły inne aplikacje portfeli kryptowalut w poprzednich latach.
W sierpniu 2023 roku luka w Libbitcoin Explorer została powiązana z kradzieżą ponad 900 000 dolarów od użytkowników Bitcoin.
Słabość, znana jako Milk Sad, polegała na wadliwym procesie generowania kluczy, który pozwalał atakującym przewidzieć klucze prywatne powiązane z określonymi seedami portfeli.
Badacze bezpieczeństwa odkryli, że polecenie bx seed nie miało wystarczającej losowości, co potencjalnie pozwalało na wygenerowanie tego samego seeda odzyskiwania więcej niż raz.
Trust Wallet ujawnił osobną lukę w rozszerzeniu przeglądarki w kwietniu 2023 roku, która dotyczyła adresów portfeli utworzonych w ograniczonym okresie w listopadzie 2022 roku.
Firma zidentyfikowała dwa podejrzane exploity obejmujące straty w wysokości około 170 000 dolarów i ogłosiła proces zwrotu dla dotkniętych użytkowników.
Trust Wallet poinformował, że problem został naprawiony i zalecił posiadaczom dotkniętych adresów przeniesienie swoich środków do nowo wygenerowanych portfeli.
Odzyskanie Qubic czeka na zatwierdzenie przez operatora sieci
Zespół podstawowy Qubic pracuje nad zidentyfikowaniem kont dotkniętych październikowym atakiem przed przedłożeniem propozycji odzyskania swoim Computors.
Sieć działa w oparciu o Useful Proof of Work, mechanizm konsensusu zaprojektowany do kierowania obliczeń wydobywczych na obciążenia sztucznej inteligencji. Jej blockchain obsługuje inteligentne kontrakty i transakcje bez konwencjonalnych opłat transakcyjnych.
W momencie sporządzenia pierwotnego raportu o incydencie kapitalizacja rynkowa Qubic wynosiła około 62,6 mln dolarów, według CoinGecko.
Incydent bezpieczeństwa miał miejsce w okresie, gdy ataki hakerskie i exploity stanowiły znaczną część zgłaszanych strat w kryptowalutach.
Według raportu śledczego AMLBot za 2026 rok ataki hakerskie i exploity stanowiły 19% przypadków przestępczości kryptowalutowej w trzecim kwartale, ale odpowiadały za 40% zgłoszonych strat finansowych.
Firma zajmująca się śledztwami blockchain oparła swoje ustalenia na 250 śledztwach otwartych od początku roku.
Qubic poinformował, że opublikuje pełny raport techniczny po ustaleniu planu odzyskiwania, podczas gdy data wznowienia działalności sieci pozostała nieogłoszona.
