Qubic为QU种子泄露事件中1,404个受影响钱包开放追回门户

1,404个受影响地址开放申领

Qubic已为10月种子生成事故中钱包资产被转走的持有者开通追回申请门户,受影响用户需在2027年5月1日前提交。社区追踪页面qubicmap.org/check统计,受影响地址共1,404个,10月17日与18日两天内被转出的QU约2,939,606,531,944枚,即约2.94万亿枚,这一数字由链上转账记录逐笔累加得出,并非项目方自行估算。目前流传的美元折算区间约在130万至140万美元之间,差异来自折算时点和价格基准不同,官方事故报告尚未给出一个经过核实的统一金额。

门户本身只负责登记申请,不执行任何资金划转。每一笔返还由网络共识机构Computor多数投票决定并执行,提交申请不等于自动获赔。申请人需提供被攻破的源身份、一个新生成的目标身份、用源身份签署的消息,以及支持性的所有权证明。仅凭签名无法定分止争:攻击者若还原了被泄露的种子,同样可以做出有效签名。因此平台可能进一步要求提供交易所提现记录、私人交易流水,或申请人可证实的另一钱包的资金路径。获批的申请会公示七天以接受异议,存在争议的申请则托管留存,直至纠纷解决。Qubic于10月20日星期二在X上的追回进展更新中宣布门户开放,并称首批返还款项已送达经核实的所有者,但项目方没有披露已赔付金额和获批申请数量。团队同时强调,官方从不索要种子或私钥,不主动发送私信,也不收取追回费用,并提醒用户在提交前自行核验门户地址。

@_Qubic_ · X 帖子

X上的追回进展更新.

在 X 上查看

区块高度85,371,949停摆与4.26.4补丁

链上出块于10月18日星期日在高度85,371,949处停止,10月19日恢复处理,此前运营商冻结了转账,等待追回提案进入共识投票。Qubic早前的安全通报发布于10月17日深夜至18日凌晨,估算停摆生效时约87.1%的被盗代币仍在网络内,其余12.9%已流入交易所MEXC,项目方称该所在账户在约一小时内被冻结。停摆期间,受影响资金置于受保护的托管池中等待返还。根因出在钱包软件而非第一层区块链协议本身:种子生成熵不足,使部分助记词可被预测。GitHub上公开的钱包代码改动把Math.random()替换为crypto.getRandomValues(),修复位置一目了然。链上一家安全分析机构曾提出,在旧机制下观测网络六次即可还原密钥,但该机构与Qubic均未确认这就是实际攻击路径。另有报道指向旧款iPhone、iPad及运行Safari的Mac浏览器中生成的可预测种子,链条本身并无缺陷。Qubic当前的指引十分直接:早于10月19日发布的4.26.4版本创建的任何网页钱包,即便余额未被触碰,也应视为不安全。更新应用无法修复旧凭证,用户必须重新生成助记词,即HD钱包的主凭证,并将剩余资金转入新地址。完整技术报告仍在待发布状态。

签名不再能单独证明所有权

这套机制里最值得关注的一点,是Qubic正面承认了此类漏洞的后果:攻击者既然能重新生成种子,签名就不再构成任何证据,门户因此转向依赖交易历史与人工审核,而非密码学证明。代价是牺牲速度换取准确性,七天公示期加上争议托管,可以过滤重复或伪造的申请。缺口在量化信息:返还金额与获批申请数均未公布,承诺的完整技术报告也未落地,目前87.1%的链上留存比例与MEXC冻结账户,仍是标注被盗QU去向的最清晰线索。硬件钱包在种子生成环节的做法不同:Ledger的恢复密钥在设备内生成,Tangem移动钱包则把整个流程隔离在浏览器之外。需要迁移旧余额的持有者,可在2027年5月期限前按步骤参考如何恢复加密钱包的完整指南。