Qubic-ке хакерлік шабуыл: iPhone браузерлерінде жасалған сид-фразаларды болжауға болатын еді, 1404 әмиян босатылды, желі тоқтатылды

2026 жылғы 17 қазанда UTC бойынша 23:42-ден 18 қазанда 01:26-ға дейін шабуылдаушы Qubic желісіндегі 1404 әмиянды босатып, шамамен 2,94 триллион QU көшірді, бұл сол кездегі бағамен шамамен 1,3 миллион доллар. Qubic-ке хакерлік шабуыл протоколға да, валидаторларға да, бірде-бір смарт-келісімшартқа да тиген жоқ. Ол кейбір әмияндардың қалпына келтіру сид-фразаларын жасау тәсіліндегі осалдықты пайдаланды: веб-әмиян жалпы мақсаттағы кездейсоқ сандар генераторын қолданған, ал Apple құрылғыларында нәтиже қайта жасап шығаруға болатындай болжамды болып шықты. Желі операторлары блокчейнді 85 371 949 нөмірлі тикте тоқтатты, ұрланған токендердің 87,1%-ы орнында мұздатулы тұр, қалғаны MEXC биржасындағы мұздатылған шотта жатыр, ал қайта іске қосу күні белгісіз. Алғашқы хабарлардың бірі шығынды 100 миллион доллардан асады деп бағалады; сол түнгі токен бағасымен ұрланған сома одан шамамен жүз есе аз еді. Төменде не бұзылғанын, кім осал болғанын, мұздатылған қаражатқа не болатынын және неге бұл үш жылдағы әлсіз сид-фразаға байланысты осындай үшінші оқиға екенін талдаймыз.

Негізгі тұжырымдар

• Шабуыл 104 минутқа созылып, 1404 әмиянды босатты және шамамен 2,94 триллион QU, яғни шамамен 1,3 миллион доллар көшірді; сол күні токен бағасы шамамен 11%-ға түсті.
• Түпкі себеп: Qubic веб-әмияны сид-фразаларды криптографиялық генератордың орнына JavaScript-тің Math.random() функциясымен жасаған; 4.26.4 нұсқасындағы түзету оны crypto.getRandomValues() функциясымен ауыстырады.
• Осал сид-фразалар 2026 жылғы 18 қазанға дейін iPhone немесе iPad құрылғысындағы кез келген браузерде, сол күнге дейін Mac компьютеріндегі Safari браузерінде немесе 2025 жылғы шілдеге дейін Qubic-тің iOS қосымшасында жасалған.
• Желіні жүргізетін тұрақты кворум Computors блокчейнді тоқтатты және қалпына келтіру жоспары бойынша дауыс береді; қаражаттың 87,1%-ы желіден мүлдем шықпады, ал 12,9%-ын MEXC шамамен бір сағат ішінде мұздатты.
• Дәл осындай қателер тобы 2026 жылғы шілдеде Coldcard әмияндарынан 594 BTC, ал 2023 жылы Libbitcoin Explorer пайдаланушыларынан 900 000 доллардан астам қаражатты босатты: сид-фраза оның артындағы кездейсоқтық қаншалықты күшті болса, соншалықты ғана берік.

Не болды: сағат бойынша

Жобаның айтуынша, ол дәл осындай осалдығы бар басқа әмияндардағы қаражатты да шабуылдаушы жеткенше көшіріп үлгерген, ал желінің стейкинг функциясы QEARN зардап шекпеген. Толық техникалық есеп қалпына келтіру жоспары бекітілгеннен кейін уәде етілген.

Qubic-ке хакерлік шабуыл неге блокчейн емес, сид-фраза мәселесі болды

Сид-фраза - әмияндағы барлық жеке кілт одан шығарылатын құпия. Сид-фразаны білетін кез келген адам қаражатты басқарады. Бүкіл құрылым бір жорамалға сүйенеді: сид-фраза ешкім болжай алмайтын көзден алынған. Саладағы стандарт - 128 бит энтропия, бұл сан соншалықты үлкен, оны болжап табу мүмкін емес.

Math.random() ешқашан мұндай жұмысқа арналмаған. Бұл - ойындар мен анимацияларға арналған ыңғайлы генератор: оның ішкі күйі шағын және бұл күй қайдан басталатынына ешқандай кепілдік жоқ. Егер бастапқы нүкте тар ауқымнан алынса, шабуылдаушыға 128 битті болжаудың қажеті жоқ; оған ықтимал бастапқы нүктелерді іріктеп шығып, сол кодты іске қосып, шыққан сид-фразалардың қайсысы балансы бар әмияндарды ашатынын тексеру жеткілікті. Сондықтан 1404 әмиян екі сағатқа жетпей құлады: ешкім 1404 адамға фишинг жасаған жоқ. Біреу олардың сид-фразаларын қайта генерациялады.

Qubic-тің өз сипаттамасы «барлық веб-әмияндар» дегеннен тарырақ. Болжамды нәтиже iPhone немесе iPad құрылғысындағы кез келген браузерде, Mac компьютеріндегі Safari браузерінде және Qubic-тің ескі iOS қосымшасында генерацияланған сид-фразаларда байқалды. Неге дәл сол код Apple браузер қозғалтқышында басқа жерлерге қарағанда нашар жұмыс істегенін жоба техникалық есебіне қалдырды. 4.26.4 нұсқасына арналған GitHub коммиті түзетуді көрсетеді: Math.random() браузердің криптографиялық тұрғыдан қауіпсіз генераторы crypto.getRandomValues() функциясымен ауыстырылды, әмиян алғашқы күннен бастап дәл соны қолдануы керек еді.

Кім осал болды, кім болмады

Qubic мәліметінше, мыналар зардап шекті:

• 2026 жылғы 18 қазанға дейін iPhone немесе iPad құрылғысындағы кез келген браузерде жасалған сид-фразалар.
• 2026 жылғы 18 қазанға дейін Mac компьютеріндегі Safari браузерінде жасалған сид-фразалар.
• 2025 жылғы шілдеге дейін Qubic-тің iOS қосымшасында жасалған сид-фразалар.

Зардап шекпегендер: басқа платформаларда жасалған сид-фразалар, аппараттық құрылғыда генерацияланып, әмиянға импортталған сид-фразалар және QEARN стейкинг позициялары. Жоба зардап шеккен әмияндарды өзі анықтап жатыр және жәбірленушілерге өз елінде әмиян идентификаторын, жоғалған соманы және Qubic эксплорерінде транзакцияға сілтемені көрсетіп, полицияға арыз беруге кеңес береді. Жобаның Discord арнасындағы сауалнама өтемақы қалай және қашан берілуі керектігі туралы қауымдастықтың пікірін жинап жатыр.

Мұздатылған қаражат және Computors дауыс беруі

Qubic майнерлерді де, әдеттегі валидаторлар жиынын да пайдаланбайды. Транзакцияларды Computors өңдейді: бұл - кворум ретінде әрекет ететін және желі шешімдері бойынша дауыс беретін операторлардың тұрақты тобы; прогресс блоктармен емес, тиктермен өлшенеді. Сондықтан блокчейнді тоқтату - белгілі топ бірнеше минутта қабылдай алатын шешім, 85 371 949 нөмірлі тикте дәл осылай болды. Блокчейн тоқтап тұрғанда ұрланған QU монеталарының 87,1%-ы қозғала алмайды. Қалған 12,9%-ы MEXC биржасына жетті, оның комплаенс тобы шабуылмен байланысты деген күдікпен қабылдаушы шотты мұздатты.

Келесі қадам - негізгі команда дайындаған қалпына келтіру нұсқалары бойынша Computors арасындағы дауыс беру. Практикалық таңдау мұздатылған кез келген блокчейн алдында тұратынмен бірдей: зардап шеккен аударымдарды кері қайтару, мұздатылған баланстарды бастапқы иелеріне қайта бекіту немесе блокчейн жазбаларын сол күйінде қалдырып, жәбірленушілерге қазынадан өтемақы төлеу. Мұның кез келгенін жасай алу мүмкіндігі желіні басқаруға келмейді деп сенгендердің бәріне арналған аптаның сабағы да. Дәл осындай биліктің биржалық жағын біз биржадағы аккаунттың мұздатылуы еш кінәсі жоқ пайдаланушыларға соққы болған кезде көрдік.

Сол қателер тобы: Coldcard, Milk Sad, Trust Wallet

Qubic-ке хакерлік шабуыл әлсіз сид-фразалармен байланысты қысқа, бірақ қымбатқа түскен оқиғалар тізіміне жатады.

• Coldcard, 2026 жылғы 31 шілде: желіден оқшауланған аппараттық әмиянда 2021 жылғы микробағдарлама жинағы болжауға болатын сид-фразалар жасаған. Шамамен 500 мекенжай 25 минутта 594,48 BTC, яғни шамамен 38 миллион доллар жоғалтты, ал кейін жалпы шығын 130 миллион доллардан асты. Біздің Coldcard микробағдарламасындағы энтропия қатесі туралы шолуымыз сол түнді және осалдықтың жария етілуін кезең-кезеңімен баяндайды.
• Milk Sad, 2023 жыл: Libbitcoin Explorer 3.x өз генераторын жүйелік уақыттың 32 битімен инициализациялаған, бұл шабуылдаушыларға тексеруге бірнеше миллиард ғана нұсқа қалдырды. Осалдық жария етілгенге дейін шамамен 2600 әмияннан 900 000 доллардан астам қаражат ұрланды (CVE-2023-39910).
• Trust Wallet, 2023 жыл: браузер кеңейтіміндегі сид-фраза генерациясындағы дәл осындай осалдық CVE-2023-31290 нөмірімен тіркеліп, Ledger қауіпсіздік командасы оны құжаттап сипаттады.

Бұл жағдайлардың ортақ тұсы - пайдаланушы бәрін дұрыс жасаған. Ешкім фишинг сілтемесін баспаған, сид-фраза жалған сайтқа енгізілмеген, OkoBot стилері сияқты зиянды бағдарлама да қатыспаған. Ақау әлдеқайда бұрын, құпияны жасаған кодта болған. Сондықтан «бұл сид-фраза қайдан шықты» деген сұрақ «ол қайда сақталады» деген сұрақпен бірдей маңызды, бұл туралы аппараттық әмияндар қауіпсіздігі жөніндегі нұсқаулығымызда толық айтылған.

Qubic деген не және жоба неге таныс

Qubic - IOTA негізін қалаушылардың бірі Сергей Иванчегло құрған бірінші деңгейлі (layer-1) желі. Ол транзакциялар мен смарт-келісімшарттарды комиссиясыз өңдейді және өзі Useful Proof of Work деп атайтын механизммен жұмыс істейді: майнерлердің жабдығы таза хештеудің орнына жоба пайдалы деп санайтын есептеулерге, соның ішінде өз нейрондық желісін оқытуға бағытталады. Токен биржаларда QUBIC атауымен саудаланады, оқиға кезіндегі нарықтық капиталдандыруы шамамен 62,6 миллион доллар болды; блокчейндегі бірлік - QU, сондықтан олардың 2,94 триллионы он екі таңбалы емес, жеті таңбалы сомаға тең.

Жоба 2025 жылғы тамызда басқа себеппен жаңалықтарға шықты: оның майнинг пулы өз процессорларын Monero-ның RandomX алгоритміне бағыттап, Monero хешрейтіндегі үлесін мамырдағы 2%-дан аз деңгейден шілденің соңына қарай 25%-дан астамға дейін өсірді, содан кейін 51%-дан асып кеттік деп мәлімдеді. Ledger компаниясының технологиялық директоры мұны жүріп жатқан сәтті 51% шабуылы деп атады; Qubic болса мұны эксперимент және стресс-тест деп сипаттады. Бұл эпизод XMR бүгін қалай саудаланатынын айқындаған делистингтерге түрткі болған жағдайлардың бірі. Басқа блокчейннің консенсусына қысым жасай алатынын көрсеткен жоба енді ұрлықтың салдарын жою үшін өз блокчейнін тоқтатты, бұл кем дегенде бір ізді әрекет.

QU ұстаушылары не істеуі керек және басқалар бұдан қандай сабақ алуы керек

• Егер сид-фразаңыз аталған үш ортаның бірінде жасалса, баланс бүтін болса да, оның қауіпсіздігі бұзылған деп санаңыз. Желі қайта іске қосылғаннан кейін қаражатты сид-фразасы түзетілген нұсқада немесе аппараттық құрылғыда генерацияланған әмиянға көшіріңіз.
• Ескі сид-фразаны ешнәрсеге қайта пайдаланбаңыз және оны «тексеріп беруді» ұсынатын ешбір сайтқа енгізбеңіз; сид-фраза сұрайтын «тексерушілер» - ең ескі алаяқтық тәсілі.
• Блокчейн қайта іске қосылғанға дейін биржалардағы QUBIC депозиттері мен шығарулары тоқтатулы тұрады деп күтіңіз. MEXC және Bitget екеуі де оларды 18 қазанда тоқтата тұрды.
• Қалған барлық әмиянға қатысты: аудиттен өткен ашық бастапқы кодпен немесе аппараттық құрылғымен генерацияланған сид-фразаларды таңдаңыз және генерациялайтын бағдарламаны жаңартып отырыңыз. Браузер қойындысы жасаған сид-фраза сол қойынды шақырған функция қаншалықты сенімді болса, соншалықты ғана сенімді.
• Coldcard прецедентін есте ұстаңыз: тіпті желіден оқшауланған құрылғыларда да генерация ақауы болған. Қаражатты әртүрлі өндірушілердің әмияндарына бөлу бір қатенің қанша зиян келтіре алатынын шектейді.

Негізгі терминдер

• Сид-фраза (seed): әмиян барлық жеке кілттерді одан шығаратын негізгі құпия; әдетте 12 немесе 24 сөз түрінде көрсетіледі.
• Энтропия: құпияның артындағы болжаусыздық мөлшері, битпен өлшенеді; сид-фразалар үшін салалық минимум - 128 бит.
• Math.random(): JavaScript-тің жалпы мақсаттағы кездейсоқ сан функциясы, криптографиялық құпияларға арналмаған.
• crypto.getRandomValues(): кездейсоқтықты операциялық жүйенің криптографиялық генераторынан алатын браузер функциясы.
• Computors: Qubic транзакцияларын өңдейтін және кворум ретінде желі шешімдері бойынша дауыс беретін операторлардың тұрақты жиыны.
• Тик: Qubic блокчейніндегі ілгерілеудің өлшем бірлігі, блок нөміріне ұқсас.