Взлом Qubic: украли $1,3 млн через уязвимость Apple

В ночь с 17 на 18 октября 2026 года атакующий менее чем за два часа опустошил 1 404 кошелька сети Qubic, похитив около 2,94 трлн токенов QU стоимостью $1,3 млн. Благодаря оперативной заморозке сети валидаторами удалось сохранить 87,1% похищенных средств; оставшиеся 12,9% были немедленно заблокированы на бирже MEXC.

Что известно сейчас

• Сумма похищенного: около 2,94 трлн токенов QU (~$1,3 млн по цене на момент атаки); 1 404 кошелька затронуты.
• Средства заморожены: 87,1% токенов заблокированы на уровне сети — валидаторы (Computors) остановили транзакции; 12,9% попали на MEXC, где аккаунт злоумышленника немедленно заморожен.
• Компенсации: решение о возврате средств пострадавшим предстоит принять кворуму Computors; оно ещё не вынесено.
• Патч выпущен: команда Qubic выпустила приложение версии 4.26.4 с исправлением алгоритма генерации сидов; разработчики также проактивно обезопасили дополнительные уязвимые средства до того, как их успел похитить атакующий.
• Стейкинг не пострадал: сервис QEARN продолжил работу в штатном режиме.

Как это произошло

Уязвимость находилась не в блокчейне Qubic, а в программном обеспечении Apple. Кошельки Qubic используют 55-символьные сиды — секретные фразы для восстановления доступа. Когда такой сид генерировался через браузер на iPhone или iPad, через Safari на Mac либо через устаревшие версии iOS-приложения Qubic, в процессе использовался недостаточно случайный источник энтропии — особенность реализации генератора псевдослучайных чисел в Apple-устройствах.

Атакующий заранее вычислил небольшую коллекцию предсказуемых сидов, которые могли быть сгенерированы на таких устройствах. Методично перебирая эти сиды, он за менее чем два часа выявил 1 404 кошелька с реальными балансами и опустошил их. Кошельки, созданные на устройствах других платформ или в обновлённых приложениях, уязвимости не имели.

Хроника

17 октября, 23:42 МСК (20:42 UTC). Началась систематическая атака: атакующий приступил к перебору предсказуемых сидов и выводу средств с уязвимых кошельков.

18 октября, 01:26 МСК (22:26 UTC пред. дня). Атака завершилась. За менее чем два часа похищено около 2,94 трлн QU из 1 404 кошельков.

18 октября, утро МСК. Валидаторы (Computors) сети Qubic обнаружили аномалию. Транзакции заморожены на тике 85 371 949. 87,1% похищенных токенов оказались блокированы на балансах сети.

18 октября, утро МСК. Биржа MEXC заморозила аккаунт, на который поступили оставшиеся 12,9% похищенных токенов. Биржа Bitget приостановила пополнение и вывод QUBIC, сославшись на техническое обслуживание.

18 октября, день МСК. Команда Qubic выпустила приложение версии 4.26.4 с исправлением генератора сидов. Параллельно разработчики проактивно перевели в безопасность дополнительные уязвимые средства, которые ещё не успел похитить атакующий. Решение о компенсациях передано на усмотрение кворума Computors.

Куда ушли деньги

Из похищенных 2,94 трлн QU 87,1% остаются заморожены непосредственно на балансах сети Qubic благодаря экстренному останову транзакций. Оставшиеся 12,9% — около 379 млрд QU — поступили на биржу MEXC, где счёт злоумышленника был немедленно заблокирован. Таким образом, по состоянию на 18 октября 100% похищенных средств остаются недоступны для атакующего.

Что сделали команда и биржи

Команда Qubic выпустила патч 4.26.4 и проактивно перевела уязвимые средства в безопасность ещё до того, как их мог забрать атакующий. Принятие решения о компенсациях пострадавшим передано кворуму Computors — сети из 676 валидаторов сети Qubic.

Биржа MEXC немедленно заморозила аккаунт злоумышленника с полученными токенами. Bitget приостановила операции с QUBIC. Сервис стейкинга QEARN продолжил работу без изменений.

Что это значит для держателей

Взлом не затронул саму блокчейн-сеть или её протокол — уязвимость находилась в периферийном ПО. Кошельки, созданные не через устройства Apple или в обновлённых приложениях, в безопасности. Пострадавшим пользователям следует обновить приложение до версии 4.26.4 и дождаться решения кворума Computors по компенсациям.

Инцидент стал очередным напоминанием: угрозы для криптопользователей нередко исходят из периферийного ПО — кошельков, браузерных расширений, мобильных приложений, — а не из самого блокчейна. Заморозка 87% средств благодаря вмешательству валидаторов — исход редкий и позитивный для подобных ситуаций.

Это не инвестиционный совет.

---

Статья дополняется: мы следим за развитием событий и добавляем новые данные. Последнее обновление — 18 октября 2026, 18:10 МСК.