Qubic 已暂停其第一层区块链，此前一名攻击者利用钱包安全漏洞，从 1,400 多个账户中窃取了约 2.94 万亿枚 QU 代币，价值 140 万美元。
摘要
- 在攻击者利用薄弱的钱包恢复种子从 1,400 多个账户中窃取约 140 万美元后，Qubic 暂停了其区块链。
- 约 87.1% 的被盗代币仍冻结在网络上，而 MEXC 限制了一个接收剩余资金的账户。
- 开发者已修复钱包种子生成漏洞，但此前受影响的钱包可能仍然存在风险。
- 网络运营者尚未批准恢复计划，Qubic 也未宣布区块链操作何时恢复。
根据 Qubic 核心团队 10 月 18 日的一份声明，攻击者的目标是那些恢复种子在生成时随机性不足的钱包，导致其私钥容易被发现。
网络在第 85,371,949 个 tick 处被暂停，以防止被盗代币进一步转移。Qubic 表示，在操作停止时，87.1% 的被盗资金仍留在网络内，而剩余的 12.9% 已到达加密货币交易所 MEXC。
据该项目称，该交易所在大约一小时内冻结了接收账户。
Qubic 尚未宣布其区块链何时恢复运营，被盗资产的恢复有待其被称为 Computors 的网络运营者做出决定。
Qubic 钱包漏洞被追溯至薄弱的种子生成
此次攻击利用了某些 Qubic 钱包生成恢复种子的方式中的缺陷，这些种子用于派生控制加密货币资产的私钥。
种子生成过程中随机性不足会使私钥更容易被重建，从而使攻击者无需直接从所有者处获取恢复短语即可访问钱包。
Qubic 根据创建恢复种子时所使用的设备、浏览器和应用程序，确定了几个受影响的钱包类别。
在 2026 年 10 月 18 日之前通过 iPhone 或 iPad 上的任何浏览器生成的钱包均受到影响，同一日期之前通过 Mac 电脑上的 Safari 创建的种子也受到影响。
该漏洞还波及 2025 年 7 月之前通过 Qubic iOS 应用程序生成的种子。
该项目表示，问题源于其钱包软件，并未涉及底层区块链协议被攻破。
根据该项目的安全更新，开发者此后已在网页钱包 4.26.4 版本中修复了种子生成漏洞。
据报道，这一更改将 JavaScript 的 Math.random() 函数替换为 crypto.getRandomValues()，后者旨在生成加密安全的随机值。
JavaScript 的 Math.random() 不适用于生成私钥或其他加密机密，因为其输出无法提供此类操作所需的安全保障。
尽管该修复解决了生成新钱包种子的方法问题，但该项目尚未确认在存在漏洞的软件下创建的恢复短语是安全的。
Qubic 表示，将在其恢复计划确定后发布完整的技术调查报告。
Qubic 冻结被盗代币，交易所暂停转账
网络暂停使大部分被盗代币被冻结，同时开发团队正在检查受影响的钱包并准备恢复提案。
根据 Qubic 报告的数据，在交易处理停止时，约有 2.56 万亿枚 QU 仍留在区块链上。
随后，应项目方要求，MEXC 暂停了 QUBIC 的充值和提现。在事件调查期间，该限制阻止了客户通过受影响的网络转移代币。
加密货币交易所 XT 于 10 月 18 日以钱包升级和维护为由，也实施了类似的暂停。该公告涵盖了 QUBIC 和 KASPLEX 网络上的充值和提现服务。
尽管这些限制阻止了通过这些服务进行转账，但 Qubic 尚未确认任何被盗代币已归还给其原所有者。
核心团队正在识别受损钱包，并准备恢复提案，供网络的 Computors 投票表决。
Computors 参与 Qubic 的共识过程，并将根据拟议的恢复安排决定如何处理被冻结的资金。
该项目尚未宣布恢复是否将涉及撤销未经授权的转账、通过另一种机制返还被冻结的代币，或单独补偿受影响的用户。
尚未批准任何最终恢复计划。
早前的钱包种子缺陷导致数百万美元的加密货币损失
Qubic 漏洞事件发生之前，已有多起涉及钱包恢复种子生成弱点的加密货币安全事件。
2026 年 7 月，比特币硬件钱包制造商 Coldcard 披露了一个固件漏洞，该漏洞允许攻击者针对那些恢复短语使用不足随机性生成的钱包。
该缺陷可追溯至 2021 年 3 月引入的固件配置，该配置导致受影响的设备使用可预测的软件随机数生成器，而非其预期的硬件来源。
正如 crypto.news 此前报道，攻击者在 7 月 31 日为期 25 分钟的攻击中，从约 500 个 Coldcard 钱包中窃取了价值 3800 万美元的约 594 枚 BTC。
该漏洞将部分钱包种子的有效熵从预期的 128 位降低至约 40 位，使受影响的私钥暴露于通过反复计算进行猜测的尝试之下。
Coldcard 随后于 8 月 20 日发布了更新的钱包固件，引入了额外的保护措施，要求用户在生成新的恢复短语时贡献自己的随机性。
制造商警告称，安装更新后的软件不会修复在易受攻击的固件版本下创建的种子。受影响的持有者被指示生成新钱包并转移其比特币。
过去几年中，类似问题也影响了其他加密货币钱包应用程序。
2023 年 8 月，一个 Libbitcoin Explorer 漏洞与比特币用户超过 90 万美元的被盗事件有关。
该弱点被称为 Milk Sad，涉及一个有缺陷的密钥生成过程，允许攻击者预测与某些钱包种子相关的私钥。
安全研究人员发现，bx seed 命令缺乏足够的随机性，可能导致同一恢复种子被多次生成。
Trust Wallet 于 2023 年 4 月披露了另一个浏览器扩展漏洞，该漏洞影响了 2022 年 11 月有限时间段内创建的钱包地址。
该公司确认了两起疑似漏洞利用事件，涉及约 17 万美元的损失，并宣布了针对受影响用户的补偿流程。
Trust Wallet 表示该问题已修复，并建议受影响地址的持有者将资金转移到新生成的钱包。
Qubic 恢复等待网络运营商批准
Qubic 的核心团队正在努力识别受 10 月攻击影响的账户，然后再向其 Computors 提交恢复提案。
该网络使用有用工作量证明（Useful Proof of Work）运行，这是一种旨在将挖矿计算导向人工智能工作负载的共识机制。其区块链支持智能合约和交易，且不收取常规交易费用。
根据CoinGecko的数据，在最初的事件报告发布时，Qubic的市值约为6260万美元。
此次安全事件发生之际，黑客攻击和漏洞利用在已报告的加密货币损失中占据了相当大的比例。
根据AMLBot的2026年调查报告，黑客攻击和漏洞利用在第三季度占加密货币犯罪案件的19%，但占已报告财务损失的40%。
这家区块链调查公司的结论基于自今年年初以来启动的250项调查。
Qubic表示，将在恢复计划确定后发布完整的技术报告，而重启网络运营的日期仍未公布。
