Qubic зупинив мейннет: через слабкі сід-фрази зловмисник спустошив 1404 гаманці

Qubic — блокчейн без комісій, що позиціонує себе як інфраструктура для ШІ-обчислень, — зупинив мейннет після того, як зловмисник вивів із 1404 гаманців токени QU приблизно на $1,3 млн. Як повідомляє Crypto Briefing з посиланням на розробників, проблема була не в коді мережі, а в надто передбачуваних сід-фразах гаманців.

Що пішло не так

Сід — це секрет, з якого генеруються приватні ключі гаманця: хто може його відтворити, той контролює кошти. Команда Qubic з'ясувала, що спустошені гаманці мали сіди, створені на старих пристроях Apple, у браузері Safari та ранніх iOS-застосунках, які, судячи з усього, давали слабку випадковість. Зловмисник, що розібрався в закономірності, міг відтворювати такі сіди й вичищати баланси один за одним.

Команда випустила клієнт версії 4.26.4 з виправленою генерацією сідів і каже, що встигла перевести в безпеку інші вразливі кошти. Стейкінг Qubic — QEARN — інцидент не зачепив.

Де зараз гроші

Близько 87,1% викрадених QU так і не залишили мережу Qubic і заблоковані, бо ланцюг зупинено. Решта 12,9% надійшла на біржу MEXC, яка протягом години заморозила акаунт-отримувач через підозру в зв'язку з атакою.

Чи отримають постраждалі компенсацію, вирішуватиме кластер Computor — оператори, які підтримують мережу й голосують щодо її розвитку. Поки що користувачів просять подати заяви до поліції. Це вже другий інцидент Qubic цього року: у серпні атакували його міст Vottun Bridge.

Що з цього варто винести

Урок стосується не лише Qubic: гаманець надійний рівно настільки, наскільки випадковим був процес його створення. Якщо ви генерували сід у старому програмному забезпеченні, варто перевести кошти в новий гаманець — найкраще на окремому пристрої (див. що таке апаратний гаманець і наш посібник про безпечне зберігання криптовалюти). Далі стежимо за голосуванням щодо компенсацій, перезапуском на виправленому клієнті та відновленням переказів на Bitget.