Qubic остановил сеть: слабые seed-фразы позволили вывести средства с 1400+ кошельков — что проверить, если вы создавали кошелёк

Что произошло

В заявлении в X Qubic сообщил, что сеть остановлена на тике 85 371 949 и остаётся в этом состоянии. По словам проекта, злоумышленник воспользовался seed-фразами, созданными с плохим источником случайности, и вывел средства с аккаунтов, которые они контролировали. Цифры проекта в изложении Cointelegraph:

Дату перезапуска сети Qubic пока не назвал и обещает опубликовать полный технический отчёт после утверждения плана восстановления. Для держателей это означает три вещи: средства сейчас перевести нельзя, план восстановления ещё не принят, а любой, кто пишет вам и предлагает «вернуть» средства за плату или в обмен на вашу seed-фразу, — мошенник. Официальные источники — собственный аккаунт проекта в X и обозреватель сети.

Что именно было не так с seed-фразами

Причину видно в коде самого проекта. В открытом репозитории веб-кошелька Qubic на GitHub есть коммит от 18 октября 2026 года, 03:28 UTC, с названием «fix: use cryptographically secure seed generation», а примерно через час вышла версия 4.26.4. Разница в коде показывает, что именно изменилось. Старый генератор собирал 55-буквенную seed-фразу из латинских букв a–z, вызывая JavaScript-функцию Math.random() для каждой буквы. Новый генератор использует crypto.getRandomValues() — криптографический источник случайности браузера — и дополнительно отбрасывает значения байтов от 234 до 255, чтобы буквы выпадали равномерно, без лёгкого смещения.

Функция Math.random() создана для анимаций или перемешивания плейлиста, а не для получения секретов: её результат может быть предсказуемым, если начальное состояние удаётся угадать или сузить. Поэтому seed-фраза, которая выглядит как 55 случайных букв, может содержать гораздо меньше настоящей случайности, чем подразумевает её длина. Злоумышленнику, который может перебрать вероятные seed, не нужно взламывать криптографию — он просто вычисляет соответствующие кошельки. Qubic указывает, что уязвимость касалась определённого набора сред (все браузеры на iPhone и iPad, Safari на Mac до 18 октября, старое iOS-приложение до июля 2025 года). Мы можем подтвердить по коду, что генератор в веб-кошельке был заменён, но не можем самостоятельно проверить, какие именно браузеры порождали предсказуемые seed, поэтому список затронутых сред приводим со слов Qubic.

Инциденты со слабыми seed-фразами случались и раньше. В материале Cointelegraph упомянуто, что в июле злоумышленники похитили средства с кошельков, seed-фразы которых были ослаблены ошибкой в прошивке, а похожие дефекты затрагивали расширение Trust Wallet для браузера и утилиту Libbitcoin Explorer в 2023 году. Там же приводится отчёт AMLBot за третий квартал 2026 года: взломы и эксплойты составили 19% расследованных криптопреступлений, но 40% заявленных убытков.

Что делать, в зависимости от того, чем вы владеете

Если вы создавали кошелёк Qubic в затронутом браузере или приложении:

1. Считайте seed-фразу скомпрометированной, даже если баланс всё ещё отображается. Атака выводила средства пакетно: аккаунт, до которого ещё не добрались, не безопасен, до него просто не дошла очередь.
2. Не пытайтесь переводить средства через неофициальные инструменты или «спасательные» сайты. Пока сеть остановлена, транзакции не проходят, а поддельные страницы восстановления — обычная вторая волна после взлома.
3. Следите за официальными объявлениями Qubic о голосовании по плану восстановления. После перезапуска сети создайте новую seed-фразу в обновлённом кошельке (версия 4.26.4 или новее) или в аппаратном кошельке и сначала переведите баланс туда.
4. Проверьте другие кошельки, созданные тем же инструментом на том же устройстве, и любые кошельки, где вы повторно использовали эту seed-фразу.

Если вы держите только другие монеты, проведите проверку на пять минут:

• Откуда взялась каждая ваша seed-фраза? Безопасный чип аппаратного кошелька или популярное приложение, которое генерирует её на вашем устройстве, — приемлемый ответ. Кнопка «сгенерировать seed» на сайте, браузерный скрипт или утилита, скачанная много лет назад, — нет.
• Создавали ли вы когда-нибудь seed в мобильном браузере ради удобства? Если да и на кошельке лежит больше мелочи, создайте новый кошелёк в аппаратном устройстве и переведите средства: это стоит одной сетевой комиссии.
• Ни при каких обстоятельствах не вводите seed-фразу на сайтах. Настоящее восстановление этого никогда не требует.
• Долгосрочные накопления не держите в горячем кошельке, которым вы пользуетесь каждый день.

Для той части средств, которой вы торгуете, счёт на крупной бирже избавляет от именно этого риска, но у бирж свои риски, поэтому разумное разделение такое: аппаратный кошелёк для того, что вы храните, и биржа для того, чем торгуете. После подобных новостей на уровне аккаунта важнее всего ключи доступа (passkey), антифишинговый код и белый список адресов вывода — об этом наши материалы на странице новостей.

Почему 12,9%, дошедшие до MEXC, удалось заморозить

Qubic сообщает, что 12,9% похищенных средств были отправлены на MEXC и что команда биржи заморозила принимающий аккаунт примерно в течение часа. Именно поэтому службы комплаенса бирж важны для обычных держателей: украденные монеты, которые нужно превратить в деньги, часто приходится проводить через регулируемую площадку, где их нередко можно остановить, тогда как монеты, не покинувшие сеть, остаются замороженными лишь до тех пор, пока этого хочет управление самой сети. Для Qubic такое управление — голосование Computors, и его исход пока неизвестен. Рыночная капитализация токена невелика — около 62,6 млн долларов на момент публикации, поэтому инцидент такого размера составляет заметную долю всей экосистемы.

Что это значит для рынка

Хищение на 1,4 млн долларов невелико по сравнению с более чем миллиардом долларов потерь отрасли от взломов в третьем квартале, которые подсчитывает Cointelegraph, и реакция рынка будет локальной — только по токену Qubic. Но этот случай стоит прочитать из-за самого механизма. Для уязвимости слабой seed-фразы не нужно взламывать блокчейн: достаточно угадать ключи. Когда метод становится известным, его можно направить на любой кошелёк с тем же недостатком. Поэтому исправление свелось к небольшому изменению кода, а ущерб был нанесён до того, как оно вышло.

Быстрые ответы

Что произошло с Qubic? 18 октября 2026 года сеть остановлена после того, как злоумышленник вывел около 1,4 млн долларов (2,94 трлн QU) с более чем 1400 аккаунтов, чьи seed-фразы были созданы с использованием слабого источника случайности.

Какие кошельки затронуты? По данным Qubic: seed-фразы, созданные в любом браузере на iPhone или iPad, в Safari на Mac до 18 октября 2026 года или в iOS-приложении Qubic до июля 2025 года.

Мои средства потеряны? Qubic сообщает, что 87,1% похищенного заморожено в сети, а 12,9% заморожено на MEXC. Валидаторы сети (Computors) проголосуют за план восстановления; даты перезапуска пока нет.

В чём было исправление? В версии кошелька 4.26.4 функция Math.random() заменена на криптографически стойкий crypto.getRandomValues() браузера, а смещение в распределении букв устранено, как видно из коммита Qubic на GitHub от 18 октября.

Как проверить свои кошельки? Спросите себя, где была создана каждая seed-фраза. Аппаратные кошельки и популярные приложения подходят; сайт или скрипт, который вы не можете проверить, — нет. Если есть сомнения, создайте новый кошелёк и переведите средства.

Стоит ли из-за этого избегать Qubic или других сетей? Инцидент касается того, как в одном наборе инструментов создавались seed-фразы, а не механизма консенсуса сети. Это повод знать, откуда взялись ваши собственные seed-фразы, в какой бы сети вы ни работали.