Qubic открыл прием заявок на возврат средств после взлома до мая 2027 года

Qubic перезапустил свой блокчейн первого уровня и начал возвращать средства пользователям после того, как уязвимость кошелька привела к взлому на сумму около $1,4 млн.

Злоумышленник вывел примерно 2,94 трлн токенов QU с 1 404 аккаунтов. Пострадавшие пользователи теперь могут подать заявки на возврат средств до 1 мая 2027 года.

Вычислители одобрили план восстановления Qubic

В сообщении от 20 октября в X Qubic заявил, что его вычислители одобрили план восстановления. Вычислители — это валидаторы сети, принимающие решения на основе консенсуса.

Проект сообщил, что первоначальные средства уже поступили проверенным владельцам. При этом не уточняется, сколько было выплачено и сколько заявок одобрено.

Атака произошла в период с позднего вечера 17 октября по раннее утро 18 октября. Qubic остановил блокчейн в воскресенье, 18 октября, на тике 85 371 949, чтобы предотвратить перемещение украденных токенов.

Согласно обозревателю блокчейна Qubic, на который ссылаются в отчетах, сеть возобновила обработку транзакций в 20:00 19 октября.

Qubic оценил, что 87,1% украденных токенов все еще находились в сети на момент остановки. Остальные 12,9% попали на криптобиржу MEXC, которая заморозила счет получателя примерно в течение часа.

Во время остановки затронутые средства были перемещены в защищенное условное депонирование. Это позволило команде выплатить средства проверенным владельцам.

Старые seed-фразы кошелька Qubic остаются небезопасными

Уязвимость была связана с тем, как создавались seed-фразы кошелька, а не с системой консенсуса блокчейна. Веб-кошелек использовал небезопасный генератор случайных чисел на некоторых устройствах, что делало некоторые фразы восстановления предсказуемыми.

К затронутым seed-фразам относятся те, которые были созданы в браузерах на iPhone и iPad, в Safari на компьютерах Mac и в старых версиях iOS-приложения Qubic.

Qubic исправил уязвимость в версии веб-кошелька 4.26.4, выпущенной 19 октября. Однако обновление приложения не заменяет фразу восстановления, созданную с помощью старого программного обеспечения.

«Если вы создали кошелек с помощью веб-кошелька Qubic до версии 4.26.4 (выпущена 19 октября), считайте его небезопасным, даже если ваши средства никогда не были тронуты», — заявила команда во вторник.

«Обновитесь до веб-кошелька 4.26.4 или более поздней версии, затем создайте новый кошелек», — добавила команда. «Переведите свои средства в новый кошелек как можно скорее и никогда больше не используйте старый».

На платформе возврата средств Qubic пользователи могут проверить адрес, подать заявку и отслеживать ее статус. Заявителям нужны их скомпрометированная идентификационная информация, новый адрес назначения, подписанное сообщение и доказательство права собственности.

Платформа отмечает, что одной подписи кошелька недостаточно. Злоумышленник, который может восстановить слабую seed-фразу, может создать такую же действительную подпись.

Подтверждающие доказательства могут включать квитанции о выводе средств с биржи, записи о частных транзакциях или цепочку финансирования из другого кошелька, контролируемого заявителем. Проверка личности необязательна.

Qubic предупредил пользователей о мошенниках, предлагающих помощь через личные сообщения. Команда заявила, что никогда не будет запрашивать фразы восстановления или напрямую писать пользователям по поводу заявок.

Подобные уязвимости seed-фраз затрагивали и другие кошельки, включая проблему с прошивкой Coldcard, раскрытую в июле 2026 года, и ошибку Libbitcoin Explorer в 2023 году.

Qubic сообщил, что планирует опубликовать полный технический отчет об инциденте. Прием заявок остается открытым до 1 мая 2027 года.