Из-за ошибки в генераторе seed-фраз Apple было похищено $1,3 млн из 1404 кошельков

Из блокчейна Qubic было выведено около 1,3 млн долларов в токенах QU из 1404 кошельков. Злоумышленник воспользовался ошибкой в генерации секретных seed-фраз в кошельке проекта на определенных устройствах Apple. Команда временно остановила сеть, заморозила большую часть похищенных активов и уже возобновила работу блокчейна, запустив процедуру возврата средств.

Как похитили 2,94 трлн токенов QU

Атака длилась примерно 104 минуты. За это время злоумышленник получил контроль над 1404 кошельками и вывел из них около 2,94 трлн QU. На момент инцидента их стоимость оценивалась примерно в $1,3–1,4 млн. Команда Qubic пояснила, что проблема заключалась в недостаточной случайности при создании seed-фраз. Это секретные данные, на основе которых кошелек генерирует ключи для доступа к криптовалюте. Если их можно предсказать или восстановить, злоумышленнику не нужно взламывать пароль или получать доступ к устройству владельца: достаточно воспроизвести ключи и подписать транзакции.

Уязвимость касалась seed-фраз, созданных через веб-кошелек Qubic в браузерах на iPhone и iPad до 18 октября 2026 года, в Safari на Mac до этой даты, а также в приложении Qubic для iOS до июля 2025 года. Таким образом, проблема заключалась не в самой операционной системе Apple, а в конкретном способе создания кошельков.

Почему пришлось остановить весь блокчейн

После обнаружения кражи валидаторы Qubic, называемые Computors, приостановили обработку транзакций на отметке 85 371 949. Это позволило остановить дальнейшее перемещение похищенных токенов по сети. По данным команды, 87,1% активов остались в блокчейне и были фактически заморожены после остановки. Остальные 12,9 % поступили на биржу MEXC, которая заблокировала соответствующий счет примерно на час. Биржа Bitget также временно приостановила депозиты и вывод QUBIC.

Решение остановить блокчейн помогло ограничить движение средств, но в то же время показало, что в экстренной ситуации сеть может прекратить обработку транзакций по решению своих операторов. Это отдельный аспект безопасности Qubic, который не следует путать с первоначальной ошибкой генератора seed-фраз.

Что исправили разработчики

19 октября Qubic выпустила версию веб-кошелька 4.26.4 с исправлением. В частности, вместо JavaScript-функции Math.random(), непригодной для создания криптографических секретов, использована функция crypto.getRandomValues(), предназначенная для получения криптографически устойчивых случайных значений.

Однако обновить программное обеспечение недостаточно, если старый кошелек уже создан с потенциально предсказуемой seed-фразой. Qubic рекомендует считать опасными все кошельки, созданные через её веб-кошелек до версии 4.26.4, даже если они не были взломаны. Пользователям необходимо обновить кошелек, создать новый с безопасным seed и перевести туда остаток средств.

Сеть восстановлена, заявки принимаются до мая 2027 года

19 октября блокчейн возобновил работу. На следующий день команда сообщила, что валидаторы одобрили план возврата средств и открыли специальную платформу для подачи заявок. Первые активыуже вернули владельцам, чьи права удалось подтвердили, но полный объем выплат не раскрыли. Пострадавшим необходимо указать адрес скомпрометированного кошелька и новый адрес, созданный в обновленной версии кошелька на безопасном устройстве. Также необходимо подтвердить право собственности. Подать заявку можно до 1 мая 2027 года.

Инцидент не был взломом механизма консенсуса Qubic: причиной стала уязвимость программного кошелька. Однако он продемонстрировал, что ошибка в генерации ключей может поставить под угрозу тысячи адресов, даже если сам блокчейн работает в штатном режиме. Теперь ключевой вопрос — сможет ли команда вернуть средства всем законным владельцам и доказать, что исправление полностью устраняет проблему.

Источник: Cointelegraph