Как создать сид-фразу: гайд после взлома Qubic

Разбираем с нуля, как создать сид-фразу, чтобы её нельзя было подобрать. Повод свежий: в ночь на 18 октября атакующий опустошил 1 404 кошелька Qubic не через взлом блокчейна, а потому что их сиды были сгенерированы с предсказуемой случайностью. Ниже — что такое сид, почему важен источник случайности и пошаговый чеклист.

Почему это важно именно сейчас

По разбору Coindaro, до исправления веб-кошелёк Qubic собирал сид из 55 букв через функцию Math.random(). Это генератор псевдослучайных чисел: его выход следует из небольшого внутреннего состояния, и браузер не обещает, что он непредсказуем. Кто сумел сузить это состояние, тот восстановил сиды, вывел адреса и проверил, где лежат деньги. В версии 4.26.4 генерацию перевели на crypto.getRandomValues(), криптографически стойкий источник, пишет crypto.news.

Пострадали сиды, созданные в любом браузере на iPhone и iPad или в Safari на Mac до 18 октября 2026 года, а также в iOS-приложении до июля 2025 года. Coindaro добавляет важное: значение имеет то, где сид впервые сгенерирован, а не где ты им пользуешься сейчас. Сид из Safari 2024 года, импортированный на другое устройство, так и остался слабым.

Это не первый такой случай. По crypto.news, в июле 2026 года у Coldcard нашли прошивку, где вместо аппаратного генератора работал программный и предсказуемый: эффективная энтропия части сидов упала со 128 до примерно 40 бит, и около 500 кошельков потеряли примерно 594 BTC. Подробнее о самом взломе Qubic — в нашей новости про 1 404 кошелька.

Что такое сид-фраза

Большинство кошельков используют стандарт BIP-39. Сначала кошелёк берёт случайное число длиной от 128 до 256 бит — энтропию. К нему добавляется контрольная сумма, и результат режется на кусочки, каждый из которых — номер слова в списке из 2048 слов. 128 бит дают 12 слов, 256 бит — 24 слова. Из этих слов, плюс необязательная парольная фраза, выводятся все ключи кошелька.

Отсюда главный вывод: надёжность сида целиком зависит от того, насколько случайным было исходное число. Сами слова ничего не защищают, если их можно предсказать. Qubic, кстати, использует свой формат сида из букв, но суть та же.

Сид-фраза сильна ровно настолько, насколько непредсказуемо число, из которого её сделали, — красота слов тут ни при чём.

Как создать сид-фразу: пошагово

Генерируй сид только внутри кошелька — аппаратного или проверенного программного с открытым кодом, обновлённого до последней версии. Coindaro отмечает: пользователь сам не может проверить источник случайности, поэтому опирайся на открытый код, аудиты и репутацию проекта.
Никогда не придумывай слова сам и не используй онлайн-«генераторы сид-фраз» на сайтах.
Не создавай сид в старой копии веб-кошелька или в приложении, которое давно не обновлялось.
Записывай слова от руки на бумаге или металле. Без скриншотов, заметок в телефоне, облаков и мессенджеров.
Сделай проверку восстановления: многие аппаратные кошельки умеют сверить записанные слова прямо на устройстве. Не вводи сид на компьютере или телефоне с интернетом и убедись, что после восстановления открываются те же адреса.
Парольная фраза к сиду — по желанию. По BIP-39 любая парольная фраза даёт рабочий кошелёк, поэтому опечатка не выдаст ошибку, а откроет другой, пустой кошелёк. Если добавляешь её, храни отдельно от слов и тоже проверь восстановление.
Отправь сначала маленькую сумму и только потом основную.
Если сид сгенерирован в софте, где позже нашли проблему со случайностью, — создай новый сид и переведи средства. Обновление прошивки или приложения старый сид не исправит: так было и у Qubic, и у Coldcard.

Аппаратный кошелёк надёжнее горячего, но не неуязвим — история Coldcard это показала. После неё производитель в прошивке от 20 августа заставил пользователей добавлять свою случайность при создании сида. Выбирать холодный кошелёк помогает наш гайд про холодный кошелёк.

Что делать держателям QU

Пока сеть стоит, ничего перевести нельзя. По 0xCERT, после перезапуска Qubic даст официальные инструкции: создать новый сид в версии 4.26.4 или новее и перевести туда средства. Судьбу замороженных монет решат Computors. Qubic предупреждает: команда никогда не пишет в личку, не просит сид и не предлагает платного «восстановления». Подобные фишинговые схемы уже били по пользователям — вспомни фейковую «миграцию» сида у COLDCARD.

FAQ

Как создать сид-фразу безопасно? Только внутри обновлённого аппаратного или проверенного кошелька с открытым кодом, офлайн, с записью на бумаге и проверкой восстановления.

Сколько слов нужно — 12 или 24? По BIP-39, 12 слов — это 128 бит энтропии, 24 слова — 256 бит. Оба варианта стандартные, если генератор честный.

Поможет ли обновление кошелька, если сид создан в уязвимой версии? Нет. Обновление меняет генерацию новых сидов, старые остаются слабыми — нужен новый сид и перевод средств.

Итог: как создать сид-фразу, чтобы её не подобрали, — вопрос не про слова, а про источник случайности. Генерируй сид только в проверенном и обновлённом кошельке, храни офлайн и меняй его, если софт, в котором он создан, оказался дырявым.

#Qubic #безопасность #гайд #кошельки #сид-фраза

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.