Взлом Qubic: с 1404 кошельков вывели токенов на $126,4 млн

Команда блокчейн-проекта Qubic, который строит децентрализованную нейросеть, сообщила о краже нативных токенов QU с 1404 кошельков. Общий объем выведенных средств — 2,94 трлн QU. Предварительная оценка ущерба — около $126,4 млн ≈ 378 млн BYN; вечером 18 октября токен торговался на уровне примерно $0,000000428, за сутки курс снизился примерно на 11%. Об этом говорится в объявлении проекта.

Атака произошла в ночь с 17 на 18 октября 2026 года: по данным команды, она заняла у злоумышленника около 104 минут — с 23:42 UTC 17 октября до 01:26 UTC 18 октября. Пересчитать сумму ущерба в рубли можно по текущему курсу. Уязвимость была не в механизме проверки транзакций, а в том, как веб-кошелек создавал сид-фразы: в нем использовалась функция JavaScript Math.random(), не предназначенная для криптографических секретов. В версии кошелька 4.26.4 ее заменили на криптографически стойкую crypto.getRandomValues().

Причина — сид-фразы, созданные на устройствах Apple

Разработчики объяснили кражу недостаточной случайностью при генерации сид-фраз. По их словам, уязвимость затрагивает фразы восстановления (seed-фразы — набор слов, из которых восстанавливается доступ к кошельку), созданные на устройствах Apple: на iPhone и iPad, а также в браузере Safari на компьютерах Mac. Генератор Qubic выдавал такие фразы слишком предсказуемыми.

• на iPhone или iPad в любом браузере до 18 октября 2026 года;
• на компьютерах Mac в браузере Safari до 18 октября 2026 года;
• в приложении Qubic для iOS до июля 2025 года.

Ошибку команда уже исправила: механизм генерации поправлен в версии 4.26.4, новые слабые фразы восстановления создаваться не будут. Пользователям, хранящим средства на кошельках со старыми сид-фразами, стоит проверить состояние адреса через проверку кошелька.

Сеть остановили на блоке 85 371 949

Разработчики прекратили обработку транзакций, чтобы помешать перемещению и продаже похищенных средств. Операторы сети Qubic, известные как Computors, согласовали экстренную остановку блокчейна на отметке 85 371 949 тиков. По словам команды, 87,1% похищенных токенов остались в сети.

Оставшиеся 12,9%, или примерно 379 млрд QU, злоумышленник успел отправить на криптобиржу MEXC. Ее команда заморозила принимающий аккаунт примерно в течение часа. Qubic уведомила биржи, и те приостановили ввод и вывод QUBIC. В MEXC пояснили, что сделали это по запросу проекта. Bitget сослалась на техническое обслуживание кошельков.

На Discord-сервере проекта идет опрос сообщества о механизме и сроках компенсации похищенных средств. Решение о дальнейших действиях примет кворум операторов сети: основная команда устанавливает все затронутые кошельки и готовит варианты для голосования. Сроки перезапуска блокчейна пока неизвестны. Подробный технический отчет команда пообещала опубликовать после того, как будет решен вопрос с восстановлением средств. Пострадавшим разработчики рекомендуют обратиться в правоохранительные органы своей страны, указав идентификатор кошелька, сумму потерь и ссылку на транзакцию в Qubic Explorer.

Отдельно в проекте предупредили о возможных попытках мошенничества под видом помощи с возвратом средств. По заявлению команды, ее представители не пишут пользователям первыми, не запрашивают сид-фразы и не предлагают платных услуг по возврату активов.

Qubic использует концепцию Useful Proof of Work: вычислительные мощности майнеров обеспечивают безопасность сети и одновременно участвуют в обучении нейросети Aigarth. Годом ранее команда проекта сообщала о проведении атаки 51% на блокчейн приватной монеты Monero — тогда панель Monero Consensus Status подтвердила реорганизацию цепочки и сброс 60 блоков, считавшихся действительными.