Взломаны более тысячи кошельков Qubic, украдено 2,94 трлн QU, сеть временно приостановлена

Автор: TechFlow

18 октября, согласно официальному сообщению об инциденте Qubic, блокчейн первого уровня Qubic, базирующийся на концепциях практического доказательства выполненной работы (PoUW) и искусственного интеллекта, подвергся серьёзной хакерской атаке. В период с 23:42 до 01:26 UTC 17–18 октября злоумышленники воспользовались уязвимостью недостаточного источника энтропии в генераторе псевдослучайных чисел (ГПСЧ) при создании мнемонических фраз для приватных ключей (Seed) в части клиентов. Это позволило им вычислить приватные ключи и опустошить 1404 независимых кошелька Qubic, переведя около 2,94 триллиона нативных токенов сети QU. В срочном уведомлении команда разработчиков Qubic пояснила, что уязвимость безопасности была локализована на этапе реализации генерации случайных чисел в среде фронтенд-кошельков, тогда как консенсус базового протокола блокчейна не подвергался прямому изменению.

Дефект источника энтропии в экосистеме Apple приводит к предсказуемым коллизиям мнемонических фраз

Анализ данных о затронутой технической сфере, опубликованных официальными источниками, показывает, что данная атака с коллизией ключей отличалась высокой концентрацией платформенных особенностей. Уязвимость точно затронула три категории исторически определённых устройств: приватные ключи кошельков, созданные в любом мобильном браузере на iPhone или iPad до 18 октября 2026 года; приватные ключи, сгенерированные в браузере Safari на Mac до этой же даты; а также исторические аккаунты, созданные через официальное iOS-приложение Qubic до июля 2025 года.

Указанный специфический спектр указывает на дефект пула энтропии псевдослучайных чисел в ядре WebKit и его мобильном программном уровне в определённое временное окно. В системах асимметричной криптографии, если клиентская программа при генерации семени приватного ключа не извлекает достаточный физический шум и высокоинтенсивную случайную энтропию из базового уровня операционной системы, злоумышленники могут применить заранее подготовленные радужные таблицы энтропийного пространства или вычислительные массивы для силового перебора и восстановления ключей. Поскольку пространственное распрежение скомпрометированных приватных ключей было значительно сужено, хакерам удалось осуществить целевой перебор тысяч адресов и перевод средств в блокчейне всего за временной промежуток менее двух часов.

Консенсус-узлы останавливают формирование блоков и перехватывают восемьдесят процентов украденных ончейн-средств

Реагируя на потерявшую контроль аномальную активацию в блокчейне, сеть Qubic выполнила принудительную остановку на такте (единице измерения высоты эры) 85 371 949. Согласно официальным данным мониторинга потоков активов, из 2,94 триллиона украденных QU 87,1% средств ещё не прошли процесс межсетевой конвертации, оставались в нативных адресах сети Qubic и были глобально заморожены и заблокированы узлами; оставшиеся 12,9% токенов, несмотря на проникновение на централизованную биржу MEXC, были связаны с учётными данными пополнения, которые платформа немедленно подвергла аресту в рамках системы контроля рисков.

Эта система блокировки стала возможной благодаря уникальной арбитражно-валидаторной архитектуре Qubic. Сеть формируется 676 фиксированными основными узлами, называемыми Computor, которые составляют проверочный арбитражный кворм (Quorum). В случае внезапных критических инцидентов безопасности арбитражный комитет основных узлов способен оперативно достичь единодушия на основе правил консенсуса, заморозить права на перевод средств для проблемных адресов и приостановить прогрессию состояния всей сети, препятствуя дальнейшему разграблению ликвидности злоумышленниками через децентрализованные фонды.

Слепые зоны генерации случайных чисел в клиентах подрывают доверие к нетьюринг-полной сети

Инцидент вновь выявил уязвимость инфраструктуры Web3, чрезмерно полагающейся на криптографическую безопасность в рамках изолированной клиентской среды. Несмотря на утверждения официального представителя Qubic о штатной работе базовой логики протокола, для рядовых держателей токенов взаимная связь доверия между клиентским ПО и базовым публичным блокчейном является непреложной. Как только в мнемонических фразах, сгенерированных на设备上 прошлых поколений, выявляются дефекты энтропии уровня бэкдора, изначально декларируемое полное право распоряжения активами в некостодиальных кошельках мгновенно теряет свою ценность.

Поиск баланса между децентрализованным учётом и экстренным вмешательством также определится как ключевой технический диспут при дальнейшей обработке последствий. Заморозка ончейн-активов и остановка работы всей сети на консенсусном уровне, хоть и позволили спасти подавляющую часть (почти девять десятых) вовлечённых средств, объективно спровоцировала в сообществе пересмотр концепций устойчивости к цензуре в децентрализованной среде и влияния централизованного управления на узлах.

Команда Core Development Qubic уже завершила рефакторинг кода и внедрение патча в модуль генерации случайных чисел в обновлении версии 4.26.4. Последующие конкретные решения по обращению с похищенными активами и планы по восстановлению их статусов будут вынесены на рассмотрение Арбитражного комитета Computor, который примется к голосованию согласно сетевым правилам. Полный технический отчёт об инциденте будет опубликован открыто после того, как маршруты возврата средств обретут ясность.