Через помилку в генераторі seed-фраз Apple викрадено $1,3 млн із 1404 гаманців

З блокчейну Qubic вивели близько $1,3 млн у токенах QU із 1404 гаманців. Зловмисник скористався помилкою в генерації секретних seed-фраз у гаманці проєкту на певних пристроях Apple. Команда тимчасово зупинила мережу, заморозила більшість викрадених активів і вже відновила роботу блокчейну, запустивши процедуру повернення коштів.

Як викрали 2,94 трлн токенів QU

Атака тривала приблизно 104 хвилини. За цей час зловмисник отримав контроль над 1404 гаманцями й вивів із них близько 2,94 трлн QU. На момент інциденту їх оцінювали приблизно у $1,3–1,4 млн. Команда Qubic пояснила, що проблема полягала в недостатній випадковості під час створення seed-фраз. Це секретні дані, з яких гаманець генерує ключі для доступу до криптовалюти. Якщо їх можна передбачити або відновити, зловмиснику не потрібно зламувати пароль чи отримувати пристрій власника: достатньо відтворити ключі та підписати транзакції.

Вразливість стосувалася seed-фраз, створених через вебгаманець Qubic у браузерах на iPhone та iPad до 18 жовтня 2026 року, у Safari на Mac до цієї дати, а також у застосунку Qubic для iOS до липня 2025 року. Отже, проблема була не в самій операційній системі Apple, а в конкретному способі створення гаманців.

Чому довелося зупиняти весь блокчейн

Після виявлення крадіжки валідатори Qubic, яких називають Computors, зупинили обробку транзакцій на позначці 85 371 949. Це дало змогу припинити подальший рух викрадених токенів мережею. За даними команди, 87,1% активів залишилися в блокчейні та були фактично заморожені після зупинки. Решта 12,9% надійшла на біржу MEXC, яка заблокувала відповідний рахунок приблизно на годину. Біржа Bitget також тимчасово призупинила депозити й виведення QUBIC.

Рішення зупинити блокчейн допомогло обмежити рух коштів, але водночас показало, що в екстреній ситуації мережа може припинити обробку транзакцій за рішенням своїх операторів. Це окремий аспект безпеки Qubic, який не слід плутати з початковою помилкою генератора seed-фраз.

Що виправили розробники

19 жовтня Qubic випустила версію вебгаманця 4.26.4 із виправленням. Зокрема, замість JavaScript-функції Math.random(), непридатної для створення криптографічних секретів, використали crypto.getRandomValues(), яка призначена для отримання криптографічно стійких випадкових значень.

Однак оновити програмне забезпечення недостатньо, якщо старий гаманець уже створений із потенційно передбачуваною seed-фразою. Qubic рекомендує вважати небезпечними всі гаманці, створені через її вебгаманець до версії 4.26.4, навіть якщо їх не пограбували. Користувачам потрібно оновити гаманець, створити новий із безпечним seed і перевести туди залишок коштів.

Мережу відновили, заявки приймають до травня 2027 року

19 жовтня блокчейн відновив роботу. Наступного дня команда повідомила, що валідатори затвердили план відновлення коштів і відкрили спеціальну платформу для заявок. Перші актививже повернули власникам, чиї права вдалося підтвердити, але повний обсяг виплат не розкрили. Постраждалим потрібно вказати адресу скомпрометованого гаманця та нову адресу, створену в оновленій версії гаманця на безпечному пристрої. Також необхідно підтвердити право власності. Подати заявку можна до 1 травня 2027 року.

Інцидент не був зламом механізму консенсусу Qubic: причиною стала вразливість програмного гаманця. Проте він продемонстрував, що помилка в генерації ключів може поставити під загрозу тисячі адрес, навіть якщо сам блокчейн працює штатно. Тепер ключове питання — чи зможе команда повернути кошти всім законним власникам і довести, що виправлення усуває проблему повністю.

Джерело: Cointelegraph