Qubic zatrzymał sieć po kradzieży 1,4 mln USD

Qubic zatrzymał sieć po kradzieży tokenów

Sieć Qubic wstrzymała działanie po ataku, w którym z ponad 1 400 portfeli zniknęło około 2,94 biliona QU, czyli w przybliżeniu 1,3-1,4 mln dolarów. Co istotne, nie chodziło o złamanie samego blockchaina, lecz o wykorzystanie słabo wygenerowanych seedów portfeli.

Do kradzieży miało dojść w nocy z 17 na 18 października 2026 roku. Transakcje były wykonywane przez niespełna dwie godziny, zanim walidatorzy, określani w ekosystemie Qubic jako Computors, zatrzymali sieć na ticku 85 371 949.

Co było przyczyną ataku?

Według informacji przekazanych przez projekt, problem dotyczył zbyt przewidywalnych seedów odzyskiwania portfeli. Luka miała obejmować:

• portfele tworzone w przeglądarkach na iPhonie i iPadzie,
• Safari na Macach,
• starsze wersje aplikacji Qubic na iOS.

W praktyce oznaczało to, że napastnik nie musiał łamać kryptografii całej sieci. Wystarczyło odnaleźć portfele, których seedy dało się odtworzyć dzięki słabemu losowaniu liczb przy ich generowaniu.

Większość środków utknęła w sieci

Qubic podał, że 87,1% skradzionych tokenów pozostało na własnym blockchainie, gdzie zostały unieruchomione po zatrzymaniu sieci. Pozostałe 12,9% trafiło na giełdę MEXC, która miała zamrozić konto odbiorcze w ciągu około godziny.

Projekt zaznaczył też, że część środków udało się zabezpieczyć zanim trafiły w ręce atakującego. Nie wiadomo jeszcze, kiedy sieć zostanie uruchomiona ponownie.

Co dalej z poszkodowanymi?

Zespół Qubic pracuje nad identyfikacją portfeli, których dotyczy incydent, oraz nad planem odzyskania środków. Ostateczna decyzja ma należeć do społeczności i walidatorów, którzy mają zagłosować nad scenariuszem dalszych działań.

Projekt zapowiedział też publikację pełnego raportu technicznego po ustaleniu planu naprawy.

Poprawka w kodzie i szerszy kontekst

Problem został już załatany w nowszej wersji portfela. Wprowadzona zmiana zastąpiła funkcję Math.random() używaną do tworzenia seedów bezpieczniejszym mechanizmem crypto.getRandomValues().

Qubic to warstwa 1 oparta na mechanizmie Useful Proof of Work (UPoW), który wykorzystuje energię z mining do treningu sztucznej inteligencji. Sieć obsługuje transakcje i smart contracty bez opłat.

Incydent wpisuje się też w szerszy trend. W ostatnich miesiącach coraz częściej dochodzi do włamań i kradzieży wynikających nie z błędów blockchaina, ale z niedoskonałości w portfelach, seedach i oprogramowaniu użytkowników.