Prema Qubicu, napadač je navodno iskoristio slabo generirane seed fraze i s više od 1.400 računa izvukao 2,94 bilijuna tokena Qubit. Pojednostavljeno, seed fraza niz je riječi koji služi kao glavni ključ za pristup kripto novčaniku. Procijenjena vrijednost sredstava iznosila je oko 1,4 milijuna dolara. Qubic je objavio da je u nedjelju zaustavio mrežu na ticku 85.371.949. Mreža je u trenutku pisanja još bila pauzirana, bez objavljenog termina ponovnog pokretanja. Navodno iskorištavanje bilo je povezano s predvidljivim seed frazama, odnosno podacima iz kojih se izvode ključevi koji omogućuju kontrolu nad novčanikom.
Koje su platforme bile pogođene?
Prema Qubicu, ranjivost je zahvatila seed fraze stvorene bilo kojim preglednikom na iPhoneu ili iPadu. Pogođeni su i Safari na Macu do 18. Listopada 2026. te Qubicova aplikacija za iOS prije srpnja 2025. seed fraza funkcionira poput glavnog ključa za digitalni sef.
Ako je generirana na predvidljiv način, može ugroziti kontrolu nad novčanikom. Qubic je mreža kategorije Layer 1 koja omogućuje transakcije i pametne ugovore bez naknada.
Njezin konsenzus Useful Proof of Work računalnu energiju rudarenja prenamjenjuje za treniranje umjetne inteligencije. Qubit, oznake QU, izvorni je token mreže Qubic. Njegova je tržišna kapitalizacija u trenutku pisanja iznosila približno 62,6 milijuna dolara.
Većina sredstava ostala je zamrznuta
Prema Qubicu, 87,1% ispražnjenih sredstava nije napustilo njegovu mrežu te je ostalo zamrznuto. Qubic je naveo da je preostalih 12,9% poslano na MEXC. Ta je kripto burza račun primatelja zamrznula u roku od približno jednog sata. Zamrzavanje ipak nije isto što i povrat vlasnicima. Qubicov temeljni tim identificira pogođene novčanike i priprema mogućnosti oporavka. O sudbini zamrznutih sredstava glasovat će mrežni sudionici poznati kao Computors. Oni će odlučiti što će se dogoditi sa zamrznutim sredstvima.
Promjena funkcije za stvaranje seed fraza
GitHub commit projekta za verziju 4.26.4 pokazuje da je JavaScript funkcija Math.random pri stvaranju seed fraza zamijenjena kriptografski sigurnom funkcijom crypto.getRandomValues. Math.random nije prikladna za stvaranje kriptografskih tajni, dok je crypto.getRandomValues namijenjena kriptografski sigurnom generiranju slučajnih vrijednosti. Qubic je objavio da najnovija verzija njegova mrežnog novčanika već sadrži ispravak nedostatka u generiranju seed fraza. Potpuno tehničko izvješće trebao bi objaviti nakon što se utvrdi plan oporavka. Qubic nije objavio kada će mreža ponovno početi raditi. Također nije odmah odgovorio Cointelegraphu na zahtjev za komentar.
Slabe seed fraze nisu izoliran problem
Coldcard je u srpnju objavio da su napadači ukrali sredstva iz novčanika čije su seed fraze bile oslabljene pogreškom u firmwareu. Slični nedostaci pogodili su 2023. proširenje preglednika Trust Wallet i alat Libbitcoin Explorer. Zajednička točka tih slučajeva bio je način generiranja seed fraza. AMLBotovo izvješće o istragama za 2026. koje obuhvaća 250 istraga otvorenih od početka godine, pokazuje financijsku težinu hakiranja i iskorištavanja ranjivosti. Tijekom trećeg tromjesečja takvi su incidenti činili 19% slučajeva kripto kriminala, ali 40% prijavljenih gubitaka.
Zaključak
Prema Qubicu, napadač je navodno iskorištavanjem slabo generiranih seed fraza ispraznio više od 1.400 računa i ukrao 2,94 bilijuna QU, vrijednih oko 1,4 milijuna dolara. Mreža je zaustavljena, a na Qubicovoj je mreži ostalo zamrznuto 87,1% sredstava. Preostalih 12,9% poslano je na MEXC, koji je račun primatelja zamrznuo u roku od približno jednog sata. Nedostatak u generatoru seed fraza ispravljen je u najnovijoj verziji mrežnog novčanika. Sljedeći koraci ovise o planu oporavka i glasovanju Computorsa, koji će odlučiti što će se dogoditi sa zamrznutim sredstvima.
