Атака на Qubic: 1 404 гаманці спустошені через слабкі сид-фрази
Хакер виніс $1,29 млн із гаманців Qubic за дві години, скориставшись недостатньою ентропією під час генерації сид-фраз. Валідатори зупинили мережу й заморозили викрадені кошти
Протокол майнінгу на основі штучного інтелекту Qubic став жертвою крупної атаки безпеки 17–18 жовтня, під час якої зловмисник отримав доступ до 1 404 гаманців користувачів. Проблема полягала не в уразливості самого блокчейну, а в способі генерації приватних ключів — сид-фраз з недостатньою ентропією. Вартість викрадених активів становила близько $1,29 млн за поточним котируванням, що призвело до падіння ціни токену QUBIC на 5,2% упродовж однієї доби.
Як зловмисник отримав доступ до гаманців
Атака тривала менше двох годин — з 23:42 UTC 17 жовтня до 01:26 UTC 18 жовтня. Хакер вивіз приблизно 2,94 трильйона токенів QU, використовуючи слабкі сид-фрази,創ені під час генерації в браузерах на пристроях Apple.
Qubic визначив, що під загрозою перебували:
- Сид-фрази, згенеровані у будь-якому браузері на iPhone або iPad до 18 жовтня 2026 року;
- Сид-фрази, створені в Safari на macOS до цієї дати;
- Приватні ключі з додатку Qubic для iOS, сформовані до липня 2025 року.
Коман́да проєкту офіційно заявила: «Проблема полягала в генерації сид-фраз, а не у самому протоколі Qubic». Розроблювачі впровадили виправлення у версії 4.26.4, яке унеможливлює створення нових уразливих ключів.
Реакція мережі та заморожування активів
Валідатори Computors негайно зупинили мережу на блоці 85 371 949, заблокувавши усі транзакції для фіксації викрадених коштів. За даними Qubic, 87,1% украденого залишилось у межах мережі, тоді як 12,9% (переважно через біржу MEXC) було виведено — однак обліковий запис отримувача заморозили протягом години. Основні крипто-біржі також призупинили депозити та виведення QUBIC.
Остаточне вирішення ситуації розглядатиме кворум Computor відповідно до регламенту мережі. Паралельно ядро-команда Qubic ідентифікує постраждалих користувачів і готує компенсаційні пропозиції.
Хвиля експлойтів у жовтні 2024
Цей інцидент не став єдиним. 17 жовтня того ж дня на кросчейн-мосту Cysic стався окремий експлойт, під час якого зловмисник незаконно вивівши 10 млн токенів CYS у мережі BNB Smart Chain. Фундація Cysic установила, що нападник скомпрометував базу даних мосту й використав дефектну логіку обробки для фальсифікації мінт-транзакцій. Адресу блокували за 76 хвилин, вдалось врятувати близько 2,8 млн токенів.
Обидва інциденти підняли кількість експлойтів у жовтні (за даними DefiLlama) до одинадцяти з сукупною збитковістю близько $6,2 млн. Найбільший — експлойт на NEAR Intents 1 жовтня, що коштував $3,8 млн. Ці випадки підкреслюють критичність надійної генерації криптографічних матеріалів та необхідність регулярного аудиту мостів і інфраструктури.
Чи був зламаний сам блокчейн Qubic?
Ні. Уразливість стосувалась процесу генерації сид-фраз (приватних ключів) у клієнтських додатках на пристроях Apple, а не консенсусу або протоколу мережі Qubic.
Яким чином користувачі можуть захистити свої гаманці?
Користувачам iOS рекомендується оновити додаток Qubic до версії 4.26.4 та новіших, які містять виправлення для коректної генерації сид-фраз з достатньою ентропією.
Що таке сид-фраза та чому низька ентропія небезпечна?
Сид-фраза — це набір слів, з якого генеруються приватні ключі гаманця. Низька ентропія означає недостатню випадковість, що дозволяє хакеру перебрати можливі комбінації й отримати доступ до активів.
Чи будуть постраждалі користувачі компенсовані?
Рішення щодо компенсацій визначатиме кворум Computor мережі Qubic відповідно до встановлених правил управління. Ядро-команда активно готує пропозиції для голосування.
