Сеть Qubic вернулась к работе после того, как 17–18 октября неизвестный вывел средства у 1404 держателей. По оценке проекта, ущерб составил примерно $1,4 млн в токенах QU — около 2,94 трлн единиц. Как сообщает ForkLog со ссылкой на команду, участники консенсуса утвердили порядок компенсаций, и первые средства уже дошли до владельцев, подтвердивших права.
Что именно случилось
Атака била не по приватным ключам отдельного пользователя, а по слабому месту в механизме создания сид-фраз. Недостаточная энтропия при их генерации позволяла подобрать комбинацию и восстановить доступ к кошельку. Под удар попали адреса, созданные через веб-версию на iPhone и iPad, в Safari на macOS, а также в прежних сборках мобильного приложения для iOS.
Дыру закрыли в обновлении веб-кошелька 4.26.4, вышедшем 19 октября. Но команда предупредила: все кошельки, заведенные через веб-приложение до этой версии, нужно считать скомпрометированными потенциально. Отсутствие подозрительных транзакций ничего не доказывает, поскольку проблема касалась самой генерации ключевой фразы. Держателям рекомендовали обновить софт, завести новый кошелек и перевести туда активы.
Как устроен возврат
Пока сеть стояла, затронутые средства держали на защищенном эскроу-счете — об этом заявили представители проекта. После рестарта команда открыла платформу для заявок: пострадавшим нужно указать адрес, с которого украли токены, и новый кошелек для зачисления. Прием продлится до 1 мая 2027 года.
Одной подписи старым ключом недостаточно: из-за той же уязвимости злоумышленник теоретически мог сформировать ее сам. Поэтому заявителям придется доказать, что активы принадлежали именно им, — подойдут выписки о выводе с биржи, данные о внебиржевых сделках, история пополнений и другие документы. Заявки с убедительными доказательствами и без споров о принадлежности рассмотрят быстрее, остальные ждет дополнительная проверка. Сколько всего выплачено и скольким людям, команда не раскрывает.
Контекст
Из украденного объема 87,1% токенов, по первоначальной оценке Qubic, остались внутри сети, а 12,9% ушли на биржу MEXC, которая заморозила связанный аккаунт. Сеть возобновила обработку тиков 19 октября примерно в 20:00 UTC — до остановки цепочка дошла на отметке 85 371 949. Остановка блокчейна ради спасения средств — радикальная мера, и в истории криптовалют к ней прибегали редко, обычно расплачиваясь за это спорами о степени децентрализации.
Qubic уже попадала в новостные сводки не как жертва, а как атакующая сторона: летом 2025 года проект заявлял о намерении получить контроль над 51% хешрейта Monero. Позднее профильный эксперт назвал ту кампанию PR-ходом, не нанесшим сети заметного вреда.
Что это значит
История с Qubic — наглядный пример того, что слабое место может скрываться не в коде смарт-контракта, а в качестве случайных чисел при создании бумажника. Пользователям стоит проверить, каким приложением и на каком устройстве они заводили кошелек, и при малейших сомнениях переносить средства на новый адрес. Отдельный риск — мошенники: команда предупредила о посредниках, которые предлагают «помочь» с возвратом токенов. Любые такие предложения следует игнорировать и подавать заявку только через официальную платформу проекта.
Источник: Telegram: ForkLog
Комментарии
Пока нет комментариев — будьте первым.