Взлом Qubic: слабые сид-фразы стоили 1 404 кошельков, сеть остановили, а 87,1% украденного заморожено

Взлом Qubic остановил целую сеть: в ночь с 17 на 18 октября атакующий вычистил 1 404 кошелька и вывел около 2,94 трлн QU. Протокол при этом цел — дыра оказалась в генерации сид-фраз, которые на части устройств Apple получались недостаточно случайными. Валидаторы остановили блокчейн, и почти все украденные монеты застряли внутри него.

Что произошло

Qubic — layer-1 сеть без комиссий за транзакции, которая продаёт себя как блокчейн для ИИ-вычислений: майнинговые мощности в её консенсусе Useful Proof of Work идут на обучение нейросетей. По данным CryptoBriefing, атакующий за неполные два часа опустошил 1 404 пользовательских кошелька. Сама команда Qubic в своей ветке в X долларовую сумму не называла: The Defiant и CryptoBriefing оценили потери примерно в $1,3 млн, Cointelegraph пишет о $1,4 млн.

После этого Computors — операторы, которые обслуживают сеть, — скоординировали «защитную остановку» на тике 85 371 949. Тик в Qubic — примерно то же, что блок в других сетях. Транзакции не проходят, поэтому украденное нельзя ни перевести, ни продать. На момент публикации Cointelegraph сеть всё ещё стояла, дату перезапуска команда не объявила.

Деньги далеко не ушли. По словам Qubic, 87,1% украденного остались внутри сети и заморожены вместе с ней. Ещё 12,9% атакующий успел отправить на MEXC, но биржа заблокировала принимающий аккаунт примерно в течение часа. TSN подсчитал, что это около 2,56 трлн QU в сети и около 379 млрд QU на бирже. MEXC по запросу проекта приостановила депозиты и выводы QUBIC, о такой же паузе на Bitget сообщил CryptoBriefing.

Почему это не баг протокола

Ключевая фраза из заявления команды: проблема в генерации сидов, а не в самом протоколе Qubic. Часть сид-фраз создавалась с недостаточной случайностью, и атакующий смог их подобрать. Под удар попали сиды, созданные в любом браузере на iPhone или iPad, в Safari на Mac до 18 октября 2026 года и в iOS-приложении Qubic до июля 2025-го.

Cointelegraph нашёл и сам фикс: в коммите версии 4.26.4 веб-кошелёк перестал использовать JavaScript-функцию Math.random(), которая не подходит для криптографических секретов, и перешёл на криптостойкую crypto.getRandomValues(). Команда утверждает, что новые слабые сиды больше создать нельзя, а часть средств на других уязвимых кошельках успели защитить до атакующего. Стейкинг QEARN, по данным CryptoBriefing, инцидент не задел.

Сеть может быть сколько угодно надёжной, но если твоя сид-фраза сгенерирована предсказуемо, её просто угадают — и никакой консенсус тебя не спасёт.

Похожие истории уже были: Cointelegraph напоминает, что в июле Coldcard раскрыла кражи с кошельков, чьи сиды ослабил баг прошивки. Про то, как у того же Coldcard взломали аккаунт в X и толкали фейковую «миграцию» сида, мы писали в материале про фишинг COLDCARD. Для Qubic это уже второй инцидент на периферии за год — в августе эксплуатировали связанный с сетью мост Vottun Bridge.

Взлом Qubic: что это значит для тебя

Если у тебя есть QU, главное практическое ограничение сейчас — сеть стоит, а депозиты и выводы на MEXC приостановлены. Двигать монеты нельзя, пока Computors не перезапустят блокчейн. Капитализация токена, по CoinGecko в пересказе Cointelegraph, около $62,6 млн, так что потеря в $1,3–1,4 млн для сети ощутимая, но не смертельная.

Вопрос компенсаций открыт. Qubic прямо говорит, что любое решение — за кворумом Computors по правилам сети. Основная команда составляет список затронутых адресов и готовит варианты, а в Discord идёт опрос, чтобы операторы видели позицию сообщества. Полный технический отчёт обещают только после того, как вопрос с возвратом будет решён.

Шире урок про любые кошельки: взлом Qubic показал, что безопасность начинается с того, откуда взялась твоя сид-фраза. Если её сгенерировал браузер или приложение со слабым генератором случайных чисел, атакующему не нужен ни эксплойт, ни фишинг.

Что делать

1. Вспомни, где создан твой сид Qubic. Если это браузер на iPhone или iPad, Safari на Mac до 18 октября 2026 года или iOS-приложение Qubic до июля 2025-го — он в списке затронутых.
2. После перезапуска сети создай новый сид в исправленной версии кошелька (4.26.4 или новее) и переведи туда средства, если они уцелели.
3. Если тебя обчистили, Qubic просит подать заявление в полицию или киберполицию своей страны с ID кошелька, суммой и ссылкой на транзакцию в эксплорере. По словам команды, официальные заявления помогают биржам держать средства замороженными.
4. Не верь «помощникам». Qubic предупредила: никто из команды не будет писать первым, просить сид или предлагать платное восстановление. Это классика после любого взлома.
5. Следи только за официальными каналами проекта, а не за личкой в Telegram и X.

Если хочешь перепроверить своё хранение в целом, пригодится наш чеклист — холодный кошелёк после взлома Frogman.

FAQ

Сколько украли при взломе Qubic? Около 2,94 трлн QU с 1 404 кошельков. В долларах это примерно $1,3 млн по оценке CryptoBriefing и The Defiant или $1,4 млн по данным Cointelegraph; сама Qubic сумму в долларах не называла.

Взлом Qubic — это дыра в самом блокчейне? Нет. По заявлению команды, уязвимость была в генерации сид-фраз в кошельке, а не в протоколе.

Вернут ли деньги? Не обещано. 87,1% средств заморожены в остановленной сети, остальное — на заблокированном счёте MEXC. Решение о судьбе средств примут Computors голосованием.

Когда сеть снова заработает? Дату команда не называла. Ждать стоит официального анонса.

Мой сид создан на Android — я в безопасности? В списке Qubic Android не упоминается. Но если ты сомневаешься, перевыпусти сид в обновлённом кошельке после перезапуска сети.

Итог: взлом Qubic — не про сломанный блокчейн, а про слабую случайность в кошельке. Остановка сети и быстрая заморозка на MEXC удержали почти все деньги на месте, но вернут ли их жертвам, решат операторы сети. Пока сеть стоит, твоя задача — проверить происхождение сида и не попасться «спасателям».

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.