Qubic הקפיאה את הרשת אחרי שתוקף רוקן יותר מ־1,400 ארנקים שנוצרו עם מילות שחזור חלשות

רשת Qubic עצרה את פעילותה ביום ראשון, אחרי שתוקף רוקן כ־1.4 מיליון דולר מיותר מ־1,400 חשבונות. לפי הפרויקט, התוקף ניצל מילות שחזור (seed, רצף המילים שממנו נגזרים המפתחות של הארנק) שנוצרו באקראיות חלשה. הרשת הוקפאה בטיק 85,371,949 (טיק הוא יחידת הזמן של Qubic, בדומה לבלוק ברשתות אחרות), ונכון לזמן כתיבת הדברים לא נמסר מתי תחזור לפעול.

Qubic היא בלוקצ'יין שכבה 1, כלומר רשת בסיס עצמאית, שמאפשרת העברות וחוזים חכמים בלי עמלות. היא פועלת על מנגנון קונצנזוס בשם Useful Proof of Work, שמפנה את אנרגיית הכרייה לאימון בינה מלאכותית. שווי השוק של הטוקן שלה, QU, עמד בזמן הכתיבה על כ־62.6 מיליון דולר לפי CoinGecko.

2.94 טריליון QU מיותר מ־1,400 חשבונות

לפי Qubic נגנבו 2.94 טריליון יחידות QU. חשבון פשוט מראה עד כמה הפגיעה מפוזרת: 1.4 מיליון דולר חלקי יותר מ־1,400 חשבונות נותן ממוצע של פחות מ־1,000 דולר לחשבון. ביחס לשווי השוק של הטוקן בזמן הכתיבה, הסכום שנגנב שווה לכ־2.2%.

הפגיעות לא נגעה לכל המשתמשים. Qubic פירטה שלושה מסלולים שבהם נוצרו מילות שחזור חלשות:

Math.random במקום מחולל קריפטוגרפי

השורש הטכני מופיע ב־commit בגיטהאב של גרסה 4.26.4 של ארנק הרשת. Qubic החליפה שם את הפונקציה Math.random() של JavaScript בפונקציה crypto.getRandomValues() ביצירת מילות השחזור. ההבדל מהותי. Math.random לא מתאימה ליצירת סודות קריפטוגרפיים, והפלט שלה לא בנוי לעמוד בפני מי שמנסה לנחש אותו. מילת השחזור היא הבסיס שממנו נגזר המפתח הפרטי של הארנק, וכל צמצום באקראיות שלה מקצר לתוקף את הדרך מחיפוש בלתי אפשרי לחיפוש ישים.

המקרה מצטרף לשורה של מתקפות שקשורות למילות שחזור חלשות. ביולי חשפה Coldcard שתוקפים גנבו כספים מארנקים שמילות השחזור שלהם נחלשו בגלל באג בקושחה. ב־2023 פגעו כשלים דומים בתוסף הדפדפן של Trust Wallet ובכלי Libbitcoin Explorer. בכל המקרים האלה החולשה נוצרה בתוכנה, כבר בשלב יצירת מילות השחזור.

לפי Qubic, הגרסה העדכנית של ארנק הרשת כבר מתוקנת. הצוות הודיע שיפרסם דוח טכני מלא אחרי שתוכנית ההשבה תוכרע.

MEXC הקפיאה בתוך כשעה, והקומפיוטרים יחליטו

רוב הכסף לא יצא מהרשת. "87.1% מהכספים שרוקנו מעולם לא עזבו את רשת Qubic ונשארים קפואים במקומם", מסרה Qubic. "12.9% הנותרים נשלחו ל־MEXC, שהצוות שלה הקפיא את החשבון המקבל בתוך כשעה". בתרגום לדולרים, לפי הסכום הכולל של כ־1.4 מיליון: כ־1.22 מיליון דולר נמצאים ברשת העצורה, וכ־180 אלף דולר מוקפאים בבורסת הקריפטו. ביחידות QU מדובר בכ־2.56 טריליון על הרשת ובכ־379 מיליארד ב־MEXC.

כל עוד הרשת לא מייצרת טיקים חדשים, אי אפשר להזיז מטבעות על גביה, וזה חל גם על התוקף וגם על שאר המשתמשים. ההחלטה מה ייעשה בכספים הקפואים תעבור ל־Computors, המאמתים של הרשת. הצוות המרכזי מזהה כעת את הארנקים שנפגעו ומכין אפשרויות השבה שיועלו להצבעה. החלטה של מאמתים להעביר כספים מכתובת לכתובת היא התערבות ישירה במה שנרשם על השרשרת, ומחזיקי QU יעקבו מקרוב אחרי האופן שבו היא תתבצע.

לפי דוח החקירות של AMLBot ל־2026, שבחן 250 חקירות שנפתחו מתחילת השנה, פריצות וניצול פרצות היו ברבעון השלישי 19% מתיקי פשיעת הקריפטו, אבל 40% מההפסדים המדווחים.

אם יצרתם ארנק Qubic באייפון או בספארי

הצעד הראשון הוא לבדוק איפה ומתי נוצרה מילת השחזור שלכם, מול שלושת המסלולים בטבלה. אם הארנק נוצר באחד מהם, התייחסו אליו כאל חשוף גם אם הוא לא רוקן. כשהרשת תחזור לפעול, צרו ארנק חדש בגרסה המתוקנת והעבירו אליו את היתרה. בזמן העצירה אי אפשר להעביר דבר.

אירועים כאלה מושכים נוכלים. הודעות שמציעות "לבדוק זכאות להשבה" ומבקשות להקליד את מילות השחזור הן הונאה, בלי יוצא מן הכלל. עקבו רק אחרי הערוצים הרשמיים של Qubic לגבי תוצאות ההצבעה.

מילת שחזור שנוצרה בתוך דפדפן או אפליקציה תלויה באיכות הקוד של מי שכתב אותם, ורוב המשתמשים לא יכולים לבדוק אותו בעצמם. לסכומים משמעותיים עדיף לייצר את מילות השחזור על התקן ייעודי ולא בטלפון שמשמש לכל דבר אחר. במדריך איך שומרים ביטקוין בבטחה תמצאו את ההבדלים בין ארנק חם לארנק קר ואת דרכי הגיבוי.

אם הכספים שלכם יושבים בחשבון שהוקפא ב־MEXC או יוחזרו בהמשך, שמרו תיעוד מלא של האירוע: צילומי מסך, מזהי עסקאות והודעות רשמיות. בנקים בישראל נוטים לעכב או לשאול שאלות על העברות שמגיעות מבורסות קריפטו בחו"ל ומבקשים מסמכים על מקור הכספים. עד 1 במאי 2027 עדיין חל הכלל הישן של בדיקת מקור כספים מעל 100,000 ש"ח בשנה, ואחריו תיכנס בדיקה מבוססת סיכון לפי התיקון להוראה 411. תיק מסודר יחסוך לכם סבב בירורים אם תחליטו בעתיד למכור ולהעביר שקלים לחשבון.