Qubic зупинила блокчейн після викрадення криптовалюти з 1404 гаманців на $1,4 млн

Про інцидент Cointelegraph повідомив 19 жовтня 2026 року. Команда Qubic заявила, що зупинка мережі дала змогу заморозити більшу частину викрадених токенів. Водночас проблема виникла не в самому протоколі блокчейну, а в програмному забезпеченні, яке використовували для створення гаманців.

Як зловмисник отримав доступ до гаманців

Атака сталася в ніч із 17 на 18 жовтня й тривала близько години та 44 хвилин. За даними Qubic, зловмисник скористався недостатньою випадковістю під час створення seed — секретної послідовності, з якої формуються ключі доступу до криптовалютного гаманця.

Якщо така послідовність генерується передбачуваним способом, зловмисник може обчислити її та отримати контроль над коштами без фізичного доступу до пристрою власника. Саме тому криптографічні програми мають використовувати спеціальні генератори випадкових чисел, призначені для захисту секретних даних.

Qubic назвала такі категорії потенційно вразливих гаманців:

• гаманці, створені в будь-якому браузері на iPhone або iPad до 18 жовтня 2026 року;
• гаманці, створені в Safari на комп'ютерах Mac до цієї дати;
• гаманці, створені в застосунку Qubic для iOS до липня 2025 року.

Це не означає, що кожен гаманець із перелічених категорій обов'язково зламали. Однак seed-фрази, створені в такий спосіб, слід вважати потенційно небезпечними, доки користувач не перенесе кошти на новий гаманець, створений за допомогою виправленого програмного забезпечення.

Куди поділися викрадені токени

Після виявлення атаки оператори мережі Qubic, яких називають Computors, погодилися зупинити блокчейн на висоті блоку 85 371 949. Це тимчасово припинило оброблення транзакцій і обмежило можливість переміщення викрадених активів.

За даними проєкту, 87,1% викрадених токенів залишилися в мережі та були заморожені. Решта 12,9% надійшли на криптовалютну біржу MEXC, яка заблокувала рахунок-одержувач приблизно протягом години після отримання інформації про інцидент. Інші біржі також тимчасово призупиняли введення та виведення QU.

Однак заморожування активів не означає автоматичного повернення коштів власникам. Рішення про подальший розподіл активів і механізм компенсації мають ухвалити в межах процедури управління мережею. На момент першого повідомлення Qubic ще готувала варіанти відновлення коштів.

Qubic уже відновила роботу мережі

Після першого повідомлення Cointelegraph ситуація змінилася. 19 жовтня 2026 року Qubic відновила оброблення транзакцій, а наступного дня оператори мережі схвалили план повернення коштів і відкрили приймання заявок від постраждалих користувачів. За повідомленням проєкту, перші кошти вже повернули власникам, право власності яких вдалося підтвердити.

Щоб усунути причину інциденту, розробники випустили версію вебгаманця 4.26.4. У ній небезпечний генератор випадкових чисел JavaScript Math.random() замінили криптографічно стійким механізмом crypto.getRandomValues(). Це зменшує ризик повторного створення передбачуваних секретних послідовностей.

Однак оновлення програми не робить старі seed-фрази безпечними. Користувачам, які створили гаманці за допомогою вразливих версій програмного забезпечення, потрібно створити новий гаманець у виправленій версії та перенести на нього решту активів.

Як постраждалим подати заявку на повернення коштів

Qubic запустила спеціальний портал для подання заявок на відновлення активів. Приймання заявок триватиме до 1 травня 2027 року. Користувачам потрібно буде підтвердити належність старої адреси та вказати нову безпечну адресу гаманця для отримання коштів.

Важлива особливість процедури полягає в тому, що одного цифрового підпису недостатньо. Якщо зловмисник зміг відновити слабку seed-фразу, він потенційно може створити такий самий підпис, як і справжній власник. Тому проєкт вимагає додаткових доказів, наприклад історії поповнення гаманця або підтвердження виведення коштів із криптовалютної біржі.

Користувачам варто дотримуватися кількох правил безпеки:

• створити новий гаманець у версії 4.26.4 або новішій і перенести на нього решту коштів;
• перевіряти адресу порталу для подання заявки через офіційні канали Qubic і нікому не передавати seed-фразу;
• не платити за послуги з відновлення коштів і не довіряти небажаним особистим повідомленням від осіб, які видають себе за представників проєкту.

Офіційний портал відновлення: weak-seed-reclaim.qubic.org. Він не запитує seed-фрази та призначений для реєстрації й перевірки заявок, а не для самостійного переміщення активів.

Чому цей випадок важливий для ринку криптовалют

Інцидент із Qubic показує, що навіть справний блокчейн не гарантує збереження коштів, якщо вразливість міститься в криптовалютному гаманці. Захист розподіленого реєстру та безпека ключів доступу — різні завдання. Протокол може працювати належним чином, але передбачуване генерування секретних даних дає змогу отримати контроль над окремими рахунками.

Для українських власників криптовалют практичний висновок універсальний: важливо не лише обирати надійні сервіси, а й стежити за оновленнями гаманців, безпечно зберігати резервні фрази та перевіряти адреси, на які переказуються активи. Повернення коштів після зламу не гарантоване, навіть якщо частину токенів вдалося заморозити.

Qubic уже відновила роботу мережі та запустила процедуру повернення активів. Проте остаточний результат залежатиме від перевірки заявок, підтвердження прав власників і подальшого розподілу заморожених коштів. Цей випадок також нагадує, що безпека криптовалютної системи визначається не лише блокчейном, а й усіма інструментами, за допомогою яких користувачі створюють гаманці та керують ними.