Qubicga xakerlik hujumi: iPhone brauzerlarida yaratilgan seed-frazalarni taxmin qilish mumkin edi, 1404 ta hamyon boʻshatildi, tarmoq muzlatildi

2026-yil 17-oktabr kuni UTC boʻyicha soat 23:42 dan 18-oktabr soat 01:26 gacha hujumchi Qubic tarmogʻidagi 1404 ta hamyonni boʻshatdi va taxminan 2,94 trln QU olib chiqdi, bu oʻsha paytdagi narxda qariyb 1,3 mln dollar edi. Qubicga xakerlik hujumi protokolga ham, validatorlarga ham, birorta smart-kontraktga ham tegmadi. Hujum baʼzi hamyonlarning tiklash seed-frazalarini yaratish usulidagi zaiflikka asoslangan: veb-hamyon umumiy maqsadli tasodifiy sonlar generatoridan foydalangan, Apple qurilmalarida esa natija shu qadar oldindan aytib boʻladigan ediki, uni qayta hosil qilish mumkin edi. Tarmoq operatorlari zanjirni 85 371 949-tikda toʻxtatdi, oʻgʻirlangan tokenlarning 87,1 foizi joyida muzlatilgan, qolgani MEXC birjasidagi muzlatilgan akkauntda turibdi, qayta ishga tushirish sanasi esa nomaʼlum. Dastlabki xabarlardan birida zarar 100 mln dollardan ortiq deb baholangan; oʻsha kechadagi token narxida oʻgʻirlangan summa bundan taxminan yuz baravar kam edi. Quyida nima buzilgani, kimlar xavf ostida qolgani, muzlatilgan mablagʻlar bilan nima boʻlishi va nega bu uch yil ichida zaif seed-frazalar bilan bogʻliq shu turdagi uchinchi hodisa ekani haqida soʻz boradi.

Asosiy xulosalar

• Hujum 104 daqiqa davom etdi, 1404 ta hamyon boʻshatildi va taxminan 2,94 trln QU, yaʼni qariyb 1,3 mln dollar olib chiqildi; oʻsha kuni token taxminan 11 foizga tushdi.
• Asosiy sabab: Qubic veb-hamyoni seed-frazalarni kriptografik generator oʻrniga JavaScriptdagi Math.random() yordamida yaratgan; 4.26.4 versiyasidagi tuzatish uni crypto.getRandomValues() bilan almashtiradi.
• Xavf ostidagi seed-frazalar 2026-yil 18-oktabrgacha iPhone yoki iPaddagi istalgan brauzerda, xuddi shu sanagacha Macdagi Safarida yoki 2025-yil iyuligacha Qubic iOS ilovasida yaratilgan.
• Tarmoqni boshqaradigan qatʼiy kvorum, yaʼni Computorlar, zanjirni toʻxtatdi va tiklash rejasi boʻyicha ovoz beradi; mablagʻlarning 87,1 foizi tarmoqdan chiqmagan, 12,9 foizini esa MEXC taxminan bir soat ichida muzlatgan.
• Xuddi shu turdagi xatolar 2026-yil iyulida Coldcard hamyonlaridan 594 BTC, 2023-yilda esa Libbitcoin Explorer foydalanuvchilaridan 900 000 dollardan ortiq mablagʻni olib ketishga imkon bergan: seed-fraza uning ortidagi tasodifiylik qanchalik kuchli boʻlsa, shunchalik kuchli.

Nima sodir boʻldi: soatma-soat

Loyihaning aytishicha, u xuddi shu zaiflikka ega boshqa hamyonlardagi mablagʻlarni ham hujumchi ularga yetib borishidan oldin koʻchirib qoʻygan, tarmoqning steyking funksiyasi QEARN esa zarar koʻrmagan. Toʻliq texnik hisobot tiklash rejasi kelishib olingandan keyin vaʼda qilingan.

Nega Qubicga xakerlik hujumi tarmoq emas, seed-fraza muammosi edi

Seed-fraza - hamyondagi barcha shaxsiy kalitlar hosil qilinadigan sir. Seed-frazani bilgan har kim mablagʻlarni nazorat qiladi. Butun tizim bitta farazga tayanadi: seed-fraza hech kim oldindan aytib bera olmaydigan manbadan olingan. Soha standarti - 128 bit entropiya, bu shunchalik katta sonki, uni taxmin qilishga urinish befoyda.

Math.random() hech qachon bunday vazifa uchun yaratilmagan. Bu oʻyinlar va animatsiyalar uchun moʻljallangan qulay generator boʻlib, uning ichki holati kichik va bu holat qayerdan boshlanishiga hech qanday kafolat yoʻq. Agar boshlangʻich nuqta tor oraliqdan olinsa, hujumchiga 128 bitni taxmin qilish shart emas: unga mumkin boʻlgan boshlangʻich nuqtalarni saralab chiqish, xuddi shu kodni ishga tushirish va hosil boʻlgan seed-frazalardan qaysilari balansli hamyonlarni ochishini tekshirish kifoya. Shuning uchun ikki soatga qolmay 1404 ta hamyon qoʻldan ketdi: hech kim 1404 kishini fishing bilan aldamadi. Kimdir ularning seed-frazalarini qayta hosil qildi.

Qubicning oʻz taʼrifi «barcha veb-hamyonlar»dan torroq. Oldindan aytib boʻladigan natija iPhone yoki iPaddagi istalgan brauzerda, Macdagi Safarida va eski Qubic iOS ilovasida yaratilgan seed-frazalarda kuzatilgan. Nega xuddi shu kod Apple brauzer dvigatelida boshqa joylardagiga qaraganda yomonroq ishlagani masalasini loyiha texnik hisobotiga qoldirgan. 4.26.4 versiyasi uchun GitHubdagi kommit tuzatishni koʻrsatadi: Math.random() oʻrniga brauzerning kriptografik jihatdan xavfsiz generatori crypto.getRandomValues() qoʻyilgan, hamyon aynan undan birinchi kundanoq foydalanishi kerak edi.

Kim xavf ostida qoldi va kim qolmadi

Qubic maʼlumotiga koʻra, quyidagilar xavf ostida:

• 2026-yil 18-oktabrgacha iPhone yoki iPaddagi istalgan brauzerda yaratilgan seed-frazalar.
• 2026-yil 18-oktabrgacha Macdagi Safarida yaratilgan seed-frazalar.
• 2025-yil iyuligacha Qubic iOS ilovasida yaratilgan seed-frazalar.

Xavf ostida emas: boshqa platformalarda yaratilgan seed-frazalar, apparat qurilmada yaratilib, hamyonga import qilingan seed-frazalar va QEARN steyking pozitsiyalari. Loyiha zarar koʻrgan hamyonlarni oʻzi aniqlamoqda va jabrlanuvchilarga oʻz mamlakatida hamyon ID raqami, yoʻqotilgan summa va Qubic eksploreridagi tranzaksiya havolasi bilan politsiyaga ariza berishni maslahat bermoqda. Loyihaning Discord serveridagi soʻrovnoma kompensatsiya qanday va qachon toʻlanishi kerakligi haqida hamjamiyat fikrlarini yigʻmoqda.

Muzlatilgan mablagʻlar va Computorlar ovozi

Qubic maynerlar yoki odatiy validatorlar toʻplamidan foydalanmaydi. Tranzaksiyalarni Computorlar qayta ishlaydi: bu kvorum sifatida harakat qiladigan va tarmoq qarorlari boʻyicha ovoz beradigan operatorlarning qatʼiy guruhi; tarmoqning oldinga siljishi bloklarda emas, tiklarda oʻlchanadi. Shuning uchun zanjirni toʻxtatish maʼlum guruh bir necha daqiqada qabul qila oladigan qaror va aynan shu narsa 85 371 949-tikda sodir boʻldi. Zanjir toʻxtatilgan ekan, oʻgʻirlangan QUning 87,1 foizi harakatlana olmaydi. Qolgan 12,9 foizi MEXCga yetib borgan, uning komplayens jamoasi qabul qiluvchi akkauntni hujum bilan bogʻliq degan gumon bilan muzlatgan.

Keyingi qadam - asosiy jamoa tayyorlagan tiklash variantlari boʻyicha Computorlar oʻrtasida ovoz berish. Amaliy tanlov muzlatilgan har qanday tarmoq oldida turadigan tanlov bilan bir xil: zarar koʻrgan oʻtkazmalarni orqaga qaytarish, muzlatilgan balanslarni asl egalariga qayta biriktirish yoki reestrni boricha qoldirib, jabrlanuvchilarga gʻaznadan kompensatsiya toʻlash. Bularning istalganini amalga oshira olish imkoniyati tarmoqni boshqarib boʻlmaydi deb ishonganlar uchun ham haftaning saboqi boʻldi. Xuddi shu kuchning savdo platformalaridagi koʻrinishini biz birja akkauntining muzlatilishi hech qanday qoidani buzmagan foydalanuvchilarga ham tegib ketganida koʻrgan edik.

Xuddi shu turdagi xatolar: Coldcard, Milk Sad, Trust Wallet

Qubicga xakerlik hujumi zaif seed-frazalar bilan bogʻliq hodisalarning qisqa, ammo qimmatga tushgan roʻyxatiga kiradi.

• Coldcard, 2026-yil 31-iyul: 2021-yildagi proshivka versiyasi internetdan uzilgan apparat hamyonda taxmin qilsa boʻladigan seed-frazalar yaratgan. Taxminan 500 ta manzil 25 daqiqada 594,48 BTC, yaʼni qariyb 38 mln dollar yoʻqotdi, umumiy zarar keyinroq 130 mln dollardan oshdi. Coldcard proshivkasidagi entropiya xatosi haqidagi maqolamizda oʻsha tun va zaiflikning oshkor qilinishi bosqichma-bosqich tiklangan.
• Milk Sad, 2023-yil: Libbitcoin Explorer 3.x oʻz generatoriga boshlangʻich qiymat sifatida tizim vaqtining 32 bitini bergan, bu hujumchilarga sinab koʻrish uchun bor-yoʻgʻi bir necha milliard variant qoldirgan. Zaiflik oshkor qilinishidan oldin taxminan 2600 ta hamyondan 900 000 dollardan ortiq mablagʻ oʻgʻirlangan (CVE-2023-39910).
• Trust Wallet, 2023-yil: brauzer kengaytmasining seed-fraza yaratish jarayonidagi xuddi shu turdagi zaiflik CVE-2023-31290 raqami bilan qayd etilgan va Ledger xavfsizlik jamoasi tomonidan hujjatlashtirilgan.

Bu holatlarning umumiy jihati shundaki, foydalanuvchi hamma narsani toʻgʻri qilgan. Hech kim fishing havolasini bosmagan, seed-frazani soxta saytga kiritmagan, OkoBot oʻgʻri dasturi kabi zararli dasturlar ham ishtirok etmagan. Nosozlik ancha oldinroq, sirni yaratgan kodda boʻlgan. Shuning uchun «bu seed-fraza qayerdan kelgan» degan savol «u qayerda saqlanmoqda» degan savol kabi muhim, bu haqda apparat hamyonlar xavfsizligi boʻyicha qoʻllanmamizda batafsil yozilgan.

Qubic nima va nega bu loyiha tanish

Qubic - IOTA hammuassislaridan biri Sergey Ivancheglo asos solgan layer-1 tarmoq. U tranzaksiyalar va smart-kontraktlarni komissiyasiz qayta ishlaydi va oʻzi Useful Proof of Work (foydali ish isboti) deb ataydigan mexanizmda ishlaydi: maynerlarning uskunalari sof xeshlash oʻrniga loyiha foydali deb hisoblagan hisoblashlarga, jumladan oʻz neyron tarmogʻini oʻqitishga yoʻnaltiriladi. Token birjalarda QUBIC nomi bilan savdo qilinadi, hodisa paytida uning bozor kapitalizatsiyasi taxminan 62,6 mln dollar edi; blokcheyndagi birlik esa QU, shuning uchun ularning 2,94 trilloni oʻn ikki xonali emas, yetti xonali summaga teng.

Loyiha 2025-yil avgustida boshqa sabab bilan sarlavhalarga chiqqan edi: uning mayning puli protsessorlarini Moneroning RandomX algoritmiga yoʻnaltirdi, Monero xeshreytidagi ulushini may oyida 2 foizga ham yetmagan darajadan iyul oxiriga kelib 25 foizdan oshirdi, keyin esa 51 foiz chegarasidan oʻtganini daʼvo qildi. Ledger kompaniyasining texnologiyalar boʻyicha direktori buni amalga oshayotgan muvaffaqiyatli 51% hujumi deb atadi; Qubic esa buni tajriba va stress-test deb taʼrifladi. Bu voqea delistinglar fonining bir qismiga aylandi, ularning oqibatlari haqida maqolamizda: XMR bugun qanday savdo qilinadi. Boshqa tarmoq konsensusiga bosim oʻtkaza olishini namoyish qilgan loyiha endi oʻgʻirlik oqibatlarini bekor qilish uchun oʻz tarmogʻini toʻxtatdi va bu hech boʻlmaganda izchil.

QU egalari nima qilishi kerak va qolganlar bundan qanday saboq olishi mumkin

• Agar seed-frazangiz sanab oʻtilgan uchta muhitdan birida yaratilgan boʻlsa, balans joyida boʻlsa ham, uni xavfsizligi buzilgan deb hisoblang. Tarmoq qayta ishga tushgach, mablagʻlarni seed-frazasi tuzatilgan versiya yoki apparat qurilma yordamida yaratilgan hamyonga koʻchiring.
• Eski seed-frazadan hech narsa uchun qayta foydalanmang va uni «tekshirib berish»ni taklif qiladigan hech qanday saytga kiritmang: seed-frazani soʻraydigan «tekshiruvchilar» - eng qadimiy firibgarlik usuli.
• Tarmoq qayta ishga tushmaguncha birjalarda QUBIC depoziti va yechib olinishi toʻxtatilgan boʻlib qolishiga tayyor turing. MEXC ham, Bitget ham ularni 18-oktabrda toʻxtatgan.
• Boshqa barcha hamyonlar uchun: audit qilingan ochiq kodli dastur yoki apparat qurilma yaratgan seed-frazalarni afzal koʻring va ularni yaratadigan dasturiy taʼminotni yangilab turing. Brauzer oynasida yaratilgan seed-fraza oʻsha oyna chaqirgan funksiya qanchalik ishonchli boʻlsa, shunchalik ishonchli.
• Coldcard pretsedentini yodda tuting: hatto internetdan uzilgan qurilmalarda ham generatsiya nuqsoni boʻlgan. Mablagʻlarni turli ishlab chiqaruvchilarning hamyonlariga taqsimlash bitta xato olib keta oladigan summani cheklaydi.

Asosiy atamalar

• Seed-fraza: hamyon barcha shaxsiy kalitlarni hosil qiladigan asosiy sir; odatda 12 yoki 24 ta soʻz koʻrinishida beriladi.
• Entropiya: sir ortidagi oldindan aytib boʻlmaslik darajasi, bitlarda oʻlchanadi; seed-frazalar uchun soha minimumi - 128 bit.
• Math.random(): JavaScriptning umumiy maqsadli tasodifiy son funksiyasi, kriptografik sirlar uchun moʻljallanmagan.
• crypto.getRandomValues(): tasodifiylikni operatsion tizimning kriptografik generatoridan oladigan brauzer funksiyasi.
• Computorlar: Qubic tranzaksiyalarini qayta ishlaydigan va kvorum sifatida tarmoq qarorlari boʻyicha ovoz beradigan operatorlarning qatʼiy toʻplami.
• Tik: Qubic reestrining oldinga siljishini oʻlchash birligi, blok raqamiga oʻxshaydi.