Із блокчейну Qubic зникло приблизно $1,3 млн у токенах QU, виведених із 1404 гаманців. Причиною стала хиба в механізмі створення seed-фраз у гаманці проєкту на деяких пристроях Apple. Розробники оперативно призупинили мережу, заблокували левову частку вкрадених активів, а згодом відновили роботу блокчейну й запустили процедуру компенсацій.

Схема викрадення 2,94 трильйона QU

Напад тривав близько 104 хвилин, за які зловмисник заволодів 1404 гаманцями та вивів із них майже 2,94 трлн токенів QU — на той момент це було приблизно $1,3–1,4 млн. У команді Qubic пояснили: корінь проблеми — недостатня випадковість при генерації seed-фраз, тобто секретного набору даних, з якого гаманець формує ключі доступу до криптовалюти. Коли такі дані піддаються прогнозуванню чи відновленню, атакувальнику не потрібно красти пристрій або підбирати пароль — досатньо відтворити ключі самостійно й підписати транзакції від імені жертви.

Під загрозою опинились seed-фрази, згенеровані через вебверсію гаманця Qubic у браузерах iPhone та iPad до 18 жовтня 2026 року, у Safari на Mac до тієї ж дати, а також через мобільний застосунок Qubic для iOS до липня 2025 року. Тобто вада крилася не в самій iOS чи macOS, а в конкретній реалізації генерації гаманців проєктом.

Навіщо знадобилося зупиняти всю мережу

Щойно крадіжку виявили, валідатори Qubic (їх називають Computors) зупинили обробку транзакцій на блоці 85 371 949, аби унеможливити подальше переміщення викрадених токенів мережею. За інформацією команди, 87,1% украдених активів так і залишились у блокчейні й фактично були заморожені одразу після зупинки. Інші 12,9% встигли потрапити на біржу MEXC, яка заблокувала відповідний рахунок приблизно на годину. Біржа Bitget також тимчасово припинила депозити й виведення QUBIC.

Таке рішення дозволило обмежити рух коштів, проте одночасно засвідчило: у критичній ситуації мережа здатна зупинити обробку транзакцій за командою операторів. Це окреме питання безпеки самої архітектури Qubic, яке не варто плутати з первісною причиною інциденту — вадою генератора seed-фраз.

Виправлення від розробників

19 жовтня команда випустила оновлену версію вебгаманця 4.26.4 з усуненою вразливістю. Зокрема, функцію Math.random(), яка не годиться для створення криптографічних секретів, замінили на crypto.getRandomValues() — інструмент, призначений саме для генерації криптографічно надійних випадкових значень.

Проте самого оновлення софту замало, якщо гаманець був створений раніше з потенційно вразливим seed. У Qubic закликали вважати потенційно небезпечними всі гаманці, згенеровані через вебверсію до появи версії 4.26.4, навіть якщо кошти з них ще не викрадено. Власникам таких гаманців варто оновити застосунок, створити нову адресу з безпечним seed і перевести туди залишок активів.

Блокчейн запрацював знову, заявки приймають до травня 2027 року

19 жовтня мережа Qubic відновила роботу. Наступного дня команда повідомила, що валідатори схвалили план повернення коштів і запустили спеціальну платформу для подання заявок. Частину активів уже повернули тим, чиї права власності вдалося підтвердити, хоча загальний обсяг виплат поки не розголошують. Постраждалим потрібно вказати адресу скомпрометованого гаманця і нову адресу, створену в оновленій версії гаманця на безпечному пристрої, а також підтвердити право власності на кошти. Подати заявку можна до 1 травня 2027 року.

Сам механізм консенсусу Qubic зламаний не був — причиною всього стала вразливість програмного гаманця. Утім, випадок показав, що помилка на етапі генерації ключів здатна поставити під загрозу тисячі адрес навіть тоді, коли блокчейн функціонує без збоїв. Відкритим залишається питання, чи вдасться команді повернути кошти всім постраждалим і чи повністю усуває нова версія виявлену проблему.