Qubic遭弱种子攻击被盗140万美元,区块链暂停后多数资金冻在链上

87.1%原地冻结,12.9%在MEXC被锁定

Qubic钱包被盗的约140万美元中,87.1%从未离开网络,仍冻结在已暂停的链上原地;其余12.9%被打入中心化交易所MEXC,该所在转账到账后约一小时内锁定了收款账户。项目方在星期日的X声明中公布了这两个数字,两项相加正好覆盖全部被盗金额。Qubic在区块时钟(tick)85,371,949处暂停了区块链,这一固定点位至今仍是其区块浏览器的最新状态;截至发稿,链仍处于停摆状态,重启时间未定。项目方说明,攻击者利用了种子生成的薄弱环节,从超过1,400个账户中抽走2.94万亿枚Qubic(QU),价值约140万美元。共有三条生成路径产生了这批被攻破的密钥,声明逐一列明:凡是在iPhone或iPad浏览器中创建的钱包均受影响;在Mac的Safari浏览器中创建、且截至2026年10月18日仍在使用的钱包同样受影响;2025年7月之前的Qubic iOS应用用户也暴露在风险之中。每一条路径的问题都出在助记种子上,它是钱包派生全部地址的主密钥,而生成本身使用的随机性太少。这种可预测性让攻击者得以一次性批量还原大量地址的私钥。需要注意的机制在于:可预测的种子不会只削弱单一地址,钱包由它派生出的每一个地址都可能同时暴露。不在这三条路径之列的钱包不在警告范围内,项目方对资金流向的说明中也没有出现其他去向。

钱包v4.26.4版本替换了不安全的随机函数

修复已经落地。GitHub上钱包版本4.26.4的更新记录显示,团队移除了JavaScript的Math.random()函数,这个函数从设计上就不适用于加密机密场景,在生成种子时改为调用密码学安全的crypto.getRandomValues();改动已上线于最新网页钱包版本。团队声称修复缺陷时,指向的正是这个已修补的版本。这类失效模式并非首例。今年7月,硬件冷钱包厂商Coldcard披露,固件漏洞削弱了部分钱包的种子强度,攻击者已从这些暴露的钱包中转走资金。更早的2023年,Trust Wallet浏览器扩展和Libbitcoin Explorer工具也出现过类似的熵缺陷。也就是说,生成时刻的弱随机性问题,在结构差异极大的各类钱包中反复出现;每次出事时钱包表面都运行正常,只是它产出的密钥恰好可被猜中。追回工作目前转入Qubic的治理流程。核心团队正在梳理受影响钱包的清单,并准备恢复方案,交由网络的Computors投票表决;Computors即验证这条链的节点运营方,冻结资金的处置由他们决定。恢复方案敲定后,项目方将发布完整技术报告。这一事件也说明,种子一旦失守,加密钱包恢复为何极少能顺利推进,因为生成缺陷对用户完全不可见。Qubic本身是一条免手续费、支持交易与智能合约的第一层区块链,采用有用工作量证明(Useful Proof of Work)共识,把挖矿算力导向训练AI模型。据CoinGecko数据,其代币市值在报道时约为6,260万美元。更宏观的背景同样值得留意:AMLBot的第三季度2026调查报告统计了年初以来立案的250个案例,发现黑客攻击与漏洞利用占加密犯罪案件的19%,却占已报告损失的40%。

我们的判断是,两个已确证的事实把损失封在了上限之内:链条在大部分被盗QU仍停在攻击者控制的地址、但尚无法转出时就已停止,而小偷已知使用的唯一一个交易所出金口在一小时内被关闭。接下来走的是治理流程,不是代码。Computors投票将决定这2.94万亿枚冻结QU如何返还,Qubic至今没有承诺重启日期,因此tick 85,371,949仍是链条的最新状态。按星期日声明的口径,被盗资金的87.1%冻结在Qubic自己的账本上,其余12.9%锁定在MEXC账户中。