Через помилку в генераторі seed-фраз Apple викрадено $1,3 млн із 1404 гаманців

Кібератака на екосистему Qubic тривала приблизно 104 хвилини, за які зловмисник отримав несанкціонований доступ до 1404 гаманців і переказав близько 2,94 трлн токенів QU. Причиною втрати коштів став дефект алгоритму створення ключів доступу: розробники вебгаманця використовували функцію генерації псевдовипадкових чисел Math.random(), непридатну для криптографічного захисту, замість захищених рішень.

Вразливість безпосередньо торкнулася користувачів браузерних інтерфейсів на пристроях Apple та окремих версій застосунку для iOS. Після виявлення витоку валідатори мережі зупинили обробку блоків, що дозволило заблокувати 87,1% викрадених коштів безпосередньо в реєстрі. Ще 12,9% активів надійшли на біржу MEXC, яка заморозила підозрілий рахунок. Торговельні операції з токеном також обмежила платформа Bitget.

Команда проєкту вже випустила виправлену версію вебгаманця 4.26.4 з інтеграцією криптографічного модуля crypto.getRandomValues(). Для потерпілих користувачів відкрили спеціальну платформу верифікації та відшкодування втрат, яка діятиме до 1 травня 2027 року. Водночас розробники закликали інвесторів негайно перевести активи на нові адреси, оскільки старі скомпрометовані ключі залишаються потенційно передбачуваними.

Інцидент не був зламом механізму консенсусу, проте продемонстрував уразливість призначеного для користувача програмного забезпечення. Водночас вимушена зупинка обробки транзакцій валідаторами підтвердила регуляторні та комплаєнс-ризики, пов'язані з фактичним контролем операторів над функціонуванням розподіленого реєстру в позаштатних ситуаціях.

Що це означає: розробникам криптовалютних сервісів необхідно суворо дотримуватися стандартів криптографічної стійкості навіть на рівні базового клієнтського коду, тоді як інвесторам варто враховувати, що можливість ручної зупинки мережі валідаторами суттєво нівелює заявлену децентралізацію блокчейну.