Qubic-ի հաքերային հարձակումը. iPhone-ի բրաուզերներում ստեղծված seed արտահայտությունները գուշակելի էին, 1404 դրամապանակ դատարկվեց, ցանցը սառեցված է

2026 թվականի հոկտեմբերի 17-ի 23:42-ից մինչև հոկտեմբերի 18-ի 01:26-ը (UTC) հարձակվողը դատարկեց Qubic ցանցի 1404 դրամապանակ և դուրս բերեց մոտ 2,94 տրիլիոն QU, որն այդ պահին արժեր մոտ 1,3 մլն դոլար։ Qubic-ի հաքերային հարձակումը չի առնչվել ոչ պրոտոկոլին, ոչ վալիդատորներին, ոչ էլ որևէ սմարթ կոնտրակտի։ Հարձակվողն օգտվել է այն եղանակից, որով որոշ դրամապանակներ ստեղծել էին իրենց վերականգնման seed-երը. վեբ դրամապանակն օգտագործում էր ընդհանուր նշանակության պատահական թվերի գեներատոր, և Apple-ի սարքերում արդյունքն այնքան կանխատեսելի էր, որ հնարավոր էր այն վերարտադրել։ Ցանցի օպերատորները կանգնեցրին շղթան 85 371 949-րդ տիկում, գողացված թոքենների 87,1%-ը սառեցված է տեղում, մնացածը գտնվում է MEXC բորսայի սառեցված հաշվում, իսկ վերագործարկման ամսաթիվն անհայտ է։ Վաղ հաղորդագրություններից մեկում կորուստը գնահատվել էր 100 մլն դոլարից ավելի, մինչդեռ այդ գիշերվա թոքենի գնով գողացված գումարը մոտ հարյուր անգամ փոքր էր։ Ստորև՝ ինչ կոտրվեց, ովքեր էին խոցելի, ինչ է կատարվում սառեցված միջոցների հետ և ինչու է սա երեք տարվա ընթացքում թույլ seed-երի հետ կապված երրորդ նման միջադեպը։

Հիմնական կետեր

• Հարձակումը տևեց 104 րոպե, դատարկեց 1404 դրամապանակ և տեղափոխեց մոտ 2,94 տրիլիոն QU, կամ մոտ 1,3 մլն դոլար. թոքենն այդ օրն էժանացավ մոտ 11%-ով։
• Արմատական պատճառը. Qubic-ի վեբ դրամապանակը seed-երը ստեղծում էր JavaScript-ի Math.random() ֆունկցիայով՝ կրիպտոգրաֆիկ գեներատորի փոխարեն. 4.26.4 տարբերակի ուղղումն այն փոխարինում է crypto.getRandomValues() ֆունկցիայով։
• Խոցելի են այն seed-երը, որոնք ստեղծվել են մինչև 2026 թվականի հոկտեմբերի 18-ը iPhone-ի կամ iPad-ի ցանկացած բրաուզերում, մինչև նույն ամսաթիվը Mac-ի Safari-ում կամ մինչև 2025 թվականի հուլիսը Qubic-ի iOS հավելվածում։
• Computor-ները՝ ցանցը կառավարող ֆիքսված քվորումը, կանգնեցրին շղթան և կքվեարկեն վերականգնման ծրագրի շուրջ. միջոցների 87,1%-ն այդպես էլ չլքեց ցանցը, իսկ 12,9%-ը MEXC բորսան սառեցրեց մոտ մեկ ժամվա ընթացքում։
• Սխալների նույն ընտանիքը 2026 թվականի հուլիսին Coldcard դրամապանակներից դուրս բերեց 594 BTC, իսկ 2023 թվականին Libbitcoin Explorer-ի օգտատերերից՝ ավելի քան 900 000 դոլար. seed-ն այնքան ամուր է, որքան դրա հետևում կանգնած պատահականությունը։

Ինչ տեղի ունեցավ՝ ժամ առ ժամ

Նախագիծը հայտնում է, որ նույն խոցելիությունն ունեցող այլ դրամապանակներից ևս տեղափոխել է միջոցները, նախքան հարձակվողը կհասներ դրանց, և որ QEARN-ը՝ ցանցի սթեյքինգի գործառույթը, չի տուժել։ Ամբողջական տեխնիկական զեկույց խոստացվում է վերականգնման ծրագրի համաձայնեցումից հետո։

Ինչու էր Qubic-ի հաքերային հարձակումը seed-ի, այլ ոչ թե ցանցի խնդիր

Seed-ն այն գաղտնիքն է, որից ստացվում են դրամապանակի բոլոր մասնավոր բանալիները։ Ով գիտի seed-ը, նա է վերահսկում միջոցները։ Ամբողջ կառուցվածքը հենվում է մեկ ենթադրության վրա. seed-ը ստացվել է մի աղբյուրից, որը ոչ ոք չի կարող կանխատեսել։ Ոլորտի ստանդարտը 128 բիթ էնտրոպիան է, այնքան մեծ թիվ, որ գուշակելն անհույս է։

Math.random() ֆունկցիան երբեք նախատեսված չի եղել այդ աշխատանքի համար։ Դա խաղերի և անիմացիաների համար նախատեսված պարզ գեներատոր է՝ փոքր ներքին վիճակով և առանց որևէ երաշխիքի, թե որտեղից է սկսվում այդ վիճակը։ Եթե ելակետը վերցվում է նեղ միջակայքից, հարձակվողին պետք չէ գուշակել 128 բիթ. բավական է թվարկել հնարավոր ելակետերը, գործարկել նույն կոդը և ստուգել, թե ստացված seed-երից որոնք են բացում մնացորդ ունեցող դրամապանակները։ Ահա թե ինչու 1404 դրամապանակ կոտրվեց երկու ժամից էլ պակաս ժամանակում. ոչ ոք ֆիշինգով չէր որսացել 1404 մարդու։ Ինչ-որ մեկը պարզապես վերստեղծել էր նրանց seed-երը։

Qubic-ի սեփական նկարագրությունն ավելի նեղ է, քան «բոլոր վեբ դրամապանակները»։ Կանխատեսելի արդյունքը հայտնվել է iPhone-ի կամ iPad-ի ցանկացած բրաուզերում, Mac-ի Safari-ում և Qubic-ի հին iOS հավելվածում ստեղծված seed-երում։ Թե ինչու է նույն կոդը Apple-ի բրաուզերային շարժիչում ավելի վատ աշխատել, քան այլուր, նախագիծը թողել է իր տեխնիկական զեկույցին։ 4.26.4 տարբերակի GitHub կոմիտը ցույց է տալիս ուղղումը. Math.random() ֆունկցիան փոխարինվել է crypto.getRandomValues() ֆունկցիայով՝ բրաուզերի կրիպտոգրաֆիկորեն անվտանգ գեներատորով, որը դրամապանակը պետք է օգտագործեր առաջին իսկ օրվանից։

Ովքեր էին խոցելի, և ովքեր՝ ոչ

Ըստ Qubic-ի՝ տուժել են.

• Մինչև 2026 թվականի հոկտեմբերի 18-ը iPhone-ի կամ iPad-ի ցանկացած բրաուզերում ստեղծված seed-երը։
• Մինչև 2026 թվականի հոկտեմբերի 18-ը Mac-ի Safari-ում ստեղծված seed-երը։
• Մինչև 2025 թվականի հուլիսը Qubic-ի iOS հավելվածում ստեղծված seed-երը։

Չեն տուժել. այլ հարթակներում ստեղծված seed-երը, ապարատային սարքերով ստեղծված և դրամապանակ ներմուծված seed-երը, ինչպես նաև QEARN սթեյքինգի դիրքերը։ Նախագիծն ինքն է բացահայտում տուժած դրամապանակները և խորհուրդ է տալիս տուժածներին իրենց երկրում դիմել ոստիկանություն՝ նշելով դրամապանակի ID-ն, կորցրած գումարը և Qubic-ի էքսփլորերում գործարքի հղումը։ Նախագծի Discord-ում անցկացվող հարցումը հավաքում է համայնքի կարծիքները, թե ինչպես և երբ պետք է իրականացվի փոխհատուցումը։

Սառեցված միջոցները և Computor-ների քվեարկությունը

Qubic-ը չի օգտագործում մայներներ կամ վալիդատորների սովորական կազմ։ Գործարքները մշակում են Computor-ները՝ օպերատորների ֆիքսված խումբ, որը գործում է որպես քվորում և քվեարկում է ցանցի որոշումների շուրջ. առաջընթացը չափվում է տիկերով, այլ ոչ թե բլոկներով։ Հետևաբար շղթան կանգնեցնելը մի որոշում է, որը հայտնի խումբը կարող է կայացնել րոպեների ընթացքում, և հենց դա էլ տեղի ունեցավ 85 371 949-րդ տիկում։ Քանի դեռ շղթան կանգնած է, գողացված QU-ի 87,1%-ը չի կարող տեղաշարժվել։ Մնացած 12,9%-ը հասել է MEXC բորսա, որի կոմպլայենսի թիմը սառեցրել է ստացող հաշիվը՝ հարձակման հետ կապված լինելու կասկածով։

Հաջորդ քայլը Computor-ների քվեարկությունն է հիմնական թիմի պատրաստած վերականգնման տարբերակների շուրջ։ Գործնական տարբերակները նույնն են, ինչ ցանկացած սառեցված ցանցի դեպքում. հետ շրջել տուժած փոխանցումները, սառեցված մնացորդները վերագրել նախկին սեփականատերերին կամ մատյանը թողնել այնպես, ինչպես կա, և տուժածներին փոխհատուցել գանձարանից։ Այս ամենից որևէ մեկն անելու կարողությունը նաև շաբաթվա դասն է բոլոր նրանց համար, ովքեր կարծում էին, թե ցանցն անկառավարելի է։ Նույն իշխանության բորսայական կողմը մենք տեսել ենք, երբ բորսայում հաշվի սառեցումը հարվածեց օգտատերերին, որոնք ոչ մի սխալ բան չէին արել։

Սխալների նույն ընտանիքը. Coldcard, Milk Sad, Trust Wallet

Qubic-ի հաքերային հարձակումը թույլ seed-երի հետ կապված միջադեպերի կարճ, բայց թանկ ցուցակից է։

• Coldcard, 2026 թվականի հուլիսի 31. 2021 թվականի միկրոծրագրի տարբերակը ցանցից մեկուսացված ապարատային դրամապանակում ստեղծում էր գուշակելի seed-եր։ Մոտ 500 հասցե 25 րոպեում կորցրեց 594,48 BTC՝ մոտ 38 մլն դոլար, իսկ ընդհանուր վնասը հետագայում գերազանցեց 130 մլն դոլարը։ Coldcard-ի միկրոծրագրի էնտրոպիայի սխալի մեր վերակառուցումը քայլ առ քայլ նկարագրում է այդ գիշերը և խոցելիության բացահայտումը։
• Milk Sad, 2023 թվական. Libbitcoin Explorer 3.x տարբերակը գեներատորի սկզբնական արժեքը վերցնում էր համակարգային ժամանակի 32 բիթից, ինչը հարձակվողներին տալիս էր ստուգելու ընդամենը մի քանի միլիարդ տարբերակ։ Մինչև խոցելիության բացահայտումը մոտ 2600 դրամապանակից գողացվել է ավելի քան 900 000 դոլար (CVE-2023-39910)։
• Trust Wallet, 2023 թվական. բրաուզերի ընդլայնման մեջ seed-երի ստեղծման նույն տիպի թուլությունը գրանցվել է որպես CVE-2023-31290 և փաստագրվել Ledger-ի անվտանգության թիմի կողմից։

Այս դեպքերի ընդհանուր գիծն այն է, որ օգտատերն ամեն ինչ ճիշտ էր արել։ Ոչ ոք ֆիշինգային հղման վրա չէր սեղմել, ոչ ոք seed-ը չէր մուտքագրել կեղծ կայքում, և ներգրավված չէր OkoBot ստիլերի նման որևէ վնասակար ծրագիր։ Ձախողումը տեղի էր ունեցել ավելի վաղ՝ գաղտնիքը ստեղծող կոդում։ Ահա թե ինչու «որտեղի՞ց է եկել այս seed-ը» հարցը նույնքան կարևոր է, որքան «որտե՞ղ է այն պահվում» հարցը, ինչը մանրամասն բացատրում է ապարատային դրամապանակների անվտանգության մեր ուղեցույցը։

Ինչ է Qubic-ը, և ինչու է նախագիծը ծանոթ

Qubic-ն առաջին մակարդակի (layer-1) ցանց է, որը հիմնադրել է IOTA-ի համահիմնադիր Սերգեյ Իվանչեգլոն։ Այն մշակում է գործարքներ և սմարթ կոնտրակտներ առանց միջնորդավճարների և աշխատում է մի մեխանիզմով, որը նախագիծն անվանում է Useful Proof of Work («օգտակար աշխատանքի ապացույց»). մայներների սարքավորումն ուղղվում է այն հաշվարկներին, որոնք նախագիծը համարում է օգտակար, այդ թվում՝ սեփական նեյրոնային ցանցի ուսուցմանը, այլ ոչ թե մաքուր հեշավորմանը։ Թոքենը բորսաներում առևտրվում է QUBIC անվամբ, և միջադեպի պահին նրա շուկայական կապիտալիզացիան մոտ 62,6 մլն դոլար էր, իսկ բլոկչեյնում հաշվառման միավորը QU-ն է, ուստի դրանց 2,94 տրիլիոնն արժե յոթանիշ, այլ ոչ թե տասներկուանիշ գումար։

Նախագիծը 2025 թվականի օգոստոսին այլ պատճառով էր հայտնվել լուրերի վերնագրերում. նրա մայնինգ պուլն իր պրոցեսորներն ուղղեց Monero-ի RandomX ալգորիթմին, Monero-ի հեշրեյթի մայիսյան 2%-ից պակաս մասնաբաժնից հուլիսի վերջին հասավ ավելի քան 25%-ի, ապա հայտարարեց, որ անցել է 51%-ի շեմը։ Ledger-ի տեխնոլոգիական տնօրենն այն անվանեց ընթացքի մեջ գտնվող հաջողված 51% հարձակում, իսկ Qubic-ն այն անվանեց փորձ և սթրես-թեստ։ Այդ դրվագն այն դելիսթինգների ֆոնի մասն է, որոնք ձևավորեցին, թե ինչպես է XMR-ն առևտրվում այսօր։ Նախագիծը, որը ցույց էր տվել մեկ այլ ցանցի կոնսենսուսի վրա ճնշում գործադրելու իր կարողությունը, այժմ կանգնեցրել է սեփական շղթան՝ գողությունը չեղարկելու համար, ինչը գոնե հետևողական է։

Ինչ անել, եթե ունեք QU, և ինչ դաս պետք է քաղեն մնացած բոլորը

• Եթե ձեր seed-ը ստեղծվել է թվարկված երեք միջավայրերից մեկում, համարեք այն վտանգված, նույնիսկ եթե մնացորդն անվնաս է։ Ցանցի վերագործարկումից հետո միջոցները տեղափոխեք դրամապանակ, որի seed-ը ստեղծվել է ուղղված տարբերակով կամ ապարատային սարքով։
• Հին seed-ը ոչ մի բանի համար կրկին մի օգտագործեք և մի մուտքագրեք այն որևէ կայքում, որն առաջարկում է այն «ստուգել». seed պահանջող «ստուգիչները» ամենահին խարդախությունն են։
• Սպասեք, որ QUBIC-ի համալրումն ու դուրսբերումը բորսաներում կմնան կասեցված մինչև ցանցի վերագործարկումը։ MEXC և Bitget բորսաները դրանք դադարեցրել են հոկտեմբերի 18-ին։
• Մնացած բոլոր դրամապանակների համար. նախընտրեք աուդիտ անցած բաց կոդով կամ ապարատային սարքով ստեղծված seed-եր և թարմացված պահեք դրանք ստեղծող ծրագիրը։ Բրաուզերի ներդիրում ստեղծված seed-ն այնքան լավն է, որքան այն ֆունկցիան, որը կանչել է այդ ներդիրը։
• Հիշեք Coldcard-ի նախադեպը. նույնիսկ ցանցից մեկուսացված սարքերն ունեցել են seed-երի ստեղծման թերություն։ Միջոցները դրամապանակների տարբեր արտադրողների միջև բաշխելը սահմանափակում է այն վնասը, որ կարող է հասցնել մեկ սխալը։

Հիմնական տերմիններ

• Seed - հիմնական գաղտնիքը, որից դրամապանակը ստանում է բոլոր մասնավոր բանալիները. սովորաբար ցուցադրվում է 12 կամ 24 բառի տեսքով։
• Էնտրոպիա - գաղտնիքի հետևում կանգնած անկանխատեսելիության չափը, որը չափվում է բիթերով. seed-երի համար ոլորտի նվազագույնը 128 բիթն է։
• Math.random() - JavaScript-ի ընդհանուր նշանակության պատահական թվերի ֆունկցիա, որը նախատեսված չէ կրիպտոգրաֆիկ գաղտնիքների համար։
• crypto.getRandomValues() - բրաուզերի ֆունկցիա, որը պատահականությունը վերցնում է օպերացիոն համակարգի կրիպտոգրաֆիկ գեներատորից։
• Computor-ներ - օպերատորների ֆիքսված խումբ, որը մշակում է Qubic-ի գործարքները և որպես քվորում քվեարկում ցանցի որոշումների շուրջ։
• Տիկ - Qubic-ի մատյանի առաջընթացի միավոր, որը համեմատելի է բլոկի համարի հետ։