Неизвестный похитил около 2,94 трлн QU из 1404 пользовательских кошельков Qubic через уязвимость в механизме генерации сид-фраз. Для предотвращения дальнейшего вывода средств сеть временно остановили.
По текущему курсу ущерб составил около $1,3 млн. По словам представителей проекта, атака произошла в период с 23:42 UTC 17 октября по 01:26 UTC 18 октября и заняла у хакера около 104 минут.
Часть сид-фраз сгенерировали с недостаточной случайностью, из-за чего они оказались слабее, чем должны быть. Злоумышленник воспользовался этим, получил доступ к кошелькам и перевел средства на подконтрольные адреса. Разработчики исправили механизм генерации в версии 4.26.4 и отметили, что создать «новые слабые сид-фразы больше нельзя».
После обнаружения атаки операторы сети Qubic, известные как Computors, согласовали экстренную остановку блокчейна на отметке 85 371 949 тиков. Транзакции не обрабатываются, поэтому похищенные токены нельзя переместить или продать.
- 87,1% украденного — около 2,56 трлн QU — так и не покинули сеть
- 12,9%, или примерно 379 млрд QU, злоумышленник успел отправить на криптобиржу MEXC
- MEXC заморозила принимающий аккаунт примерно в течение часа
Qubic уведомила биржи, и те приостановили ввод и вывод QUBIC: в MEXC пояснили, что сделали это по запросу проекта, а Bitget сослалась на техническое обслуживание кошельков. Решение о дальнейших действиях примет кворум операторов сети — основная команда устанавливает все затронутые кошельки и готовит варианты для голосования, а в Discord запустили опрос для учета позиции сообщества. Сроки перезапуска блокчейна пока неизвестны, подробный технический отчет команда пообещала опубликовать после решения вопроса с восстановлением средств.
С подобной проблемой ранее столкнулись владельцы аппаратных кошельков Coldcard — в августе специалисты Galaxy Research сообщили о краже как минимум 1778,84 BTC на сумму $112,7 млн из-за ошибки в программном генераторе энтропии.
Источник: оригинал
