Взлом Qubic: 1404 кошелька за 104 минуты, и сеть пришлось остановить

Qubic остановила собственный блокчейн на тике 85 371 949 в воскресенье. Атакующий вывел из 1404 кошельков 2,94 трлн QU примерно на $1,4 млн — с 23:42 UTC субботы до 01:26 UTC воскресенья. Это 104 минуты, то есть один кошелёк каждые 4,4 секунды.

Почему всё сломал Math.random

Ключи никто не угадывал. Веб-кошелёк собирал сид-фразы через Math.random из JavaScript, и в версии 4.26.4 эту функцию заменили на crypto.getRandomValues. Документация Mozilla прямо говорит, что Math.random не даёт криптографически стойких случайных чисел и не должен использоваться там, где речь о безопасности. Это предупреждение висит там годами.

Скорость объясняется арифметикой. Сид Qubic — это 55 строчных латинских букв, дважды пропущенных через K12 в 256-битный приватный ключ, так что один только алфавит сида даёт порядка 6,6 на десять в семьдесят седьмой степени комбинаций. Сид, вытянутый из Math.random, не может быть разнообразнее самого генератора, а его внутреннее состояние — 128 бит, то есть 3,4 на десять в тридцать восьмой. Тридцать девять порядков пространства перебора исчезли ещё до того, как атакующий взялся за работу.

Кто попал под удар

Уязвимыми оказались узкие и понятные случаи: любой браузер на iPhone или iPad, Safari на Mac до 18 октября и приложение Qubic для iOS старше июля 2025 года. Кошельки, созданные где-то ещё, не пострадали — поэтому упали именно 1404 счёта, а не вся сеть.

“87,1% выведенных средств так и не покинули сеть Qubic и остаются замороженными на месте.”

— Qubic, Заявление в X, 18 октября 2026 года

Деньги в основном остались на месте. По словам Qubic, 87,1% украденных токенов так и не ушли из сети, а MEXC заморозила принимающий счёт с остальными 12,9% примерно за час. Заморозка стала возможной потому, что валидаторы, которых Qubic называет Computors, могут остановить реестр целиком, — свойство, которое здесь возвращает деньги, а в любой другой день читалось бы как централизация.

Сравним кражу с самим токеном. Капитализация QU — $67,2 млн, оборот за сутки $990 925, так что 2,94 трлн украденных монет — это 2% обращения и больше целого дня торгов. При остановленном собственном реестре токен за те же сутки прибавил 3,2%, а за неделю потерял 24,3%. Два недавних случая рифмуются с этим: сид попадает к атакующему напрямую, когда устройство подменили на почте, а ошибка может годами лежать в рабочем коде, пока в него не заглянут, — это показал патч XRP Ledger в этом месяце. Здесь Computors ещё предстоит проголосовать за план возврата, а дату перезапуска Qubic не называла.

Материал информационный и не является инвестиционной рекомендацией: цифры взяты из заявления самой Qubic и рыночных данных на 19 октября 2026 года, голосование о возврате средств ещё не прошло.