Qubic 已暫停其第一層區塊鏈，此前一名攻擊者利用錢包安全漏洞，從超過 1,400 個帳戶中竊取了約 2.94 兆枚 QU 代幣，價值 140 萬美元。
摘要
- 在攻擊者利用薄弱的錢包恢復種子從超過 1,400 個帳戶竊取約 140 萬美元後，Qubic 暫停了其區塊鏈。
- 約 87.1% 的被盜代幣仍凍結在網路上，而 MEXC 限制了接收其餘資金的帳戶。
- 開發者已修復錢包種子生成漏洞，但先前受影響的錢包可能仍然脆弱。
- 網路營運者尚未批准恢復計畫，Qubic 也未宣布區塊鏈營運何時恢復。
根據 Qubic 核心團隊 10 月 18 日的聲明，攻擊者的目標是那些恢復種子以不足的隨機性生成的錢包，使其私鑰容易被發現。
該網路在第 85,371,949 個 tick 處被暫停，以防止被盜代幣進一步轉移。Qubic 表示，在營運停止時，87.1% 的被盜資金仍留在網路內，而其餘 12.9% 已到達加密貨幣交易所 MEXC。
據該項目稱，該交易所在大約一小時內凍結了接收帳戶。
Qubic 尚未宣布其區塊鏈何時恢復營運，被盜資產的恢復正等待其網路營運者（稱為 Computors）的決定。
Qubic 錢包漏洞追溯至薄弱的種子生成
此次攻擊利用了某些 Qubic 錢包生成恢復種子的方式中的缺陷，這些種子用於派生控制加密貨幣資產的私鑰。
種子生成期間的薄弱隨機性可能使私鑰更容易被重建，從而使攻擊者無需直接從所有者那裡獲取其恢復短語即可訪問錢包。
Qubic 根據創建恢復種子時所使用的裝置、瀏覽器和應用程式，確定了幾類受影響的錢包。
在 2026 年 10 月 18 日之前，透過 iPhone 或 iPad 上的任何瀏覽器生成的錢包均受到影響，同日期之前透過 Mac 電腦上的 Safari 創建的種子也受到影響。
該漏洞還延伸至 2025 年 7 月之前透過 Qubic iOS 應用程式生成的種子。
該項目表示，問題源於其錢包軟體，並不涉及底層區塊鏈協議遭到入侵。
根據該項目的安全更新，開發者此後已在網頁錢包版本 4.26.4 中修正了種子生成缺陷。
據報導，此變更將 JavaScript 的 Math.random() 函數替換為 crypto.getRandomValues()，後者旨在生成密碼學安全的隨機值。
JavaScript 的 Math.random() 並非用於生成私鑰或其他密碼學秘密，因為其輸出無法提供此類操作所需的安全保證。
儘管此修正解決了用於生成新錢包種子的方法，但該項目尚未確認在易受攻擊的軟體下創建的恢復短語是安全的。
Qubic 表示，將在其恢復計畫確定後發布完整的技術調查報告。
Qubic 凍結被盜代幣，交易所暫停轉帳
網路暫停使大部分被盜代幣處於凍結狀態，同時開發團隊正在檢查受影響的錢包並準備恢復提案。
根據 Qubic 報告的數據，在交易處理停止時，約 2.56 兆枚 QU 仍留在區塊鏈上。
MEXC 隨後應項目方要求，暫停了 QUBIC 的充值與提現。該限制使客戶在事件調查期間無法透過受影響的網路轉移代幣。
加密貨幣交易所 XT 於 10 月 18 日以錢包升級與維護為由，實施了類似的暫停措施。該公告涵蓋了 QUBIC 與 KASPLEX 網路的充值與提現服務。
儘管這些限制阻止了透過上述服務進行轉帳，Qubic 尚未確認任何被盜代幣已歸還給原持有人。
核心團隊正在識別受影響的錢包，並準備恢復提案，供網路的 Computors 投票表決。
Computors 參與 Qubic 的共識流程，並將根據擬議的恢復安排，決定應如何處理被凍結的資金。
該項目尚未宣布恢復方式是否會涉及撤銷未經授權的轉帳、透過另一種機制返還被凍結的代幣，或另行補償受影響的用戶。
目前尚未批准任何最終恢復計畫。
早前的錢包種子缺陷導致數百萬加密貨幣損失
Qubic 此次遭利用的事件，發生在數起涉及錢包恢復種子生成弱點的加密貨幣安全事件之後。
2026 年 7 月，比特幣硬體錢包製造商 Coldcard 披露了一個韌體漏洞，該漏洞允許攻擊者鎖定那些恢復短語使用不足隨機性生成的錢包。
該缺陷可追溯至 2021 年 3 月引入的一項韌體配置，該配置導致受影響的裝置使用可預測的軟體隨機數生成器，而非其預定的硬體來源。
正如 crypto.news 先前報導，攻擊者在 7 月 31 日一場為時 25 分鐘的攻擊中，從約 500 個 Coldcard 錢包竊取了價值 3,800 萬美元的約 594 枚 BTC。
該漏洞將部分錢包種子的有效熵從預定的 128 位元降至約 40 位元，使受影響的私鑰暴露於透過反覆計算進行猜測的風險之中。
Coldcard 隨後於 8 月 20 日發布了更新的錢包韌體，引入了額外的防護措施，要求用戶在生成新的恢復短語時貢獻自己的隨機性。
該製造商警告，安裝更新軟體並不會修復在易受攻擊的韌體版本下所建立的種子。受影響的持有人被指示生成新錢包並轉移其比特幣。
類似的問題在過去幾年中曾影響其他加密貨幣錢包應用程式。
2023 年 8 月，一個 Libbitcoin Explorer 漏洞被認為與比特幣用戶超過 90 萬美元的盜竊有關。
該弱點被稱為 Milk Sad，涉及一個有缺陷的金鑰生成過程，允許攻擊者預測與某些錢包種子相關聯的私鑰。
安全研究人員發現，bx seed 指令缺乏足夠的隨機性，可能允許同一個恢復種子被生成超過一次。
Trust Wallet 於 2023 年 4 月披露了另一個瀏覽器擴充功能漏洞，該漏洞影響了 2022 年 11 月一段有限期間內所建立的錢包地址。
該公司識別出兩起疑似漏洞利用事件，涉及約 17 萬美元的損失，並宣布了針對受影響用戶的補償流程。
Trust Wallet 表示該問題已修復，並建議受影響地址的持有人將資金轉移至新生成的錢包。
Qubic 恢復方案等待網路營運者批准
Qubic 的核心團隊正在努力識別受 10 月攻擊影響的帳戶，之後才會向其 Computors 提交恢復提案。
該網路採用有用工作量證明（Useful Proof of Work）運作，這是一種旨在將挖礦算力導向人工智慧工作負載的共識機制。其區塊鏈支援智慧合約與交易，且不收取常規交易費用。
根據 CoinGecko 的資料，在最初事件報告發布時，Qubic 的市值約為 6,260 萬美元。
這起安全事件發生之際，駭客攻擊與漏洞利用在已通報的加密貨幣損失中占了相當大的比例。
根據 AMLBot 的 2026 年調查報告，駭客攻擊與漏洞利用在第三季占加密貨幣犯罪案件的 19%，但卻占已通報財務損失的 40%。
這家區塊鏈調查公司的調查結果，是根據自今年年初以來所展開的 250 項調查得出的。
Qubic 表示，將在復原計畫確定後發布完整的技術報告，而重啟網路營運的日期則仍未公布。
