新闻加密货币Qubic 因 130 万美元盗窃致 1,404 个钱包被盗而暂停网络

Qubic 因 130 万美元盗窃致 1,404 个钱包被盗而暂停网络

作者: Crypto Adventure·2026年10月19日

要点速览

•攻击者利用以可预测、弱随机方式生成的钱包种子，从 1,404 个 Qubic 钱包中盗取约 2.94 万亿枚 QU 代币，价值约 130 万美元。
•Qubic 的 Computors 在 tick 85,371,949 处执行了紧急网络停机；遏制措施使约 87.1% 的被盗代币留在已暂停的链上，流入 MEXC 交易所的其余 12.9% 已被该交易所冻结。
•该漏洞源于钱包种子生成使用 JavaScript 的 Math.random()，而非 Qubic 的共识或交易验证规则；受影响的环境包括 iPhone 和 iPad 上的浏览器、2026 年 10 月 18 日之前的 macOS Safari，以及 2025 年 7 月之前的 Qubic iOS 应用。
•Qubic 于 2026 年 10 月 18 日发布的钱包 4.26.4 版本以 crypto.getRandomValues() 取代 Math.random()，以保护新生成的种子，但通过存在漏洞的方式创建钱包的用户必须迁移至全新、以安全方式生成的钱包。
•追回与补偿决定由 Computor 集群的治理程序作出，目前尚未公布最终补偿方案或确认的网络重启日期；据报道 QEARN 质押系统未受影响。

一名攻击者利用 Qubic 钱包软件中因存在漏洞而生成的可预测钱包种子，从 1,404 个钱包中盗取约 2.94 万亿枚 QU 代币，价值约 130 万美元，Qubic 随后暂停了其区块链。

该盗窃发生于 2026 年 10 月 17 日 23:42 UTC 至 10 月 18 日 01:26 UTC 之间。Qubic 的 Computors 在 tick 85,371,949 处协调执行了紧急网络停机，在开发团队调查受影响钱包期间停止了后续交易。团队通过在 X 上发布的官方帖子公布了此次停机。

遏制措施基本奏效。约 87.1% 的被盗代币仍留在已停机的网络上，其余 12.9% 流入加密货币交易所 MEXC，该交易所已冻结接收账户。相关资金目前已被冻结，但其最终追回与分配仍未解决。

薄弱的钱包种子导致超过 1,400 个账户暴露

攻击者利用了钱包恢复种子生成过程中随机性不足的问题，使由此产生的私钥容易被预测。由于恢复种子是钱包派生私钥的根凭据，生成环节的弱点会使这些私钥控制的每一个地址都面临风险。受影响的环境包括 2026 年 10 月 18 日之前在 iPhone 或 iPad 上运行的任何浏览器、同日之前 macOS 上的 Safari，以及 2025 年 7 月之前的 Qubic iOS 应用。

该漏洞存在于钱包种子生成环节，而非 Qubic 底层的共识机制或交易验证规则。使用可预测种子创建的地址即使其所有者近期未与恶意应用交互、也未签署可疑交易，仍然处于暴露状态。

种子创建时的弱随机性是整个行业此前曾出现过的失效模式。Ill Bloom 钱包漏洞曾在恢复短语创建过程中因随机性不足而暴露加密货币地址，另外一起 Coldcard 漏洞则影响了生成安全性不足的比特币种子的硬件钱包。

Qubic 的受影响钱包记录显示，事件期间共有 2,939,606,531,944 枚 QU 转入七个归集地址。即使在未被列入已确认盗窃范围的情况下，通过受影响环境创建的钱包仍可能已被攻破。

Qubic 发布 4.26.4 版本修复种子生成

10 月 18 日，Qubic 发布了钱包 4.26.4 版本，已在 GitHub 上发布，对种子生成流程引入了修正。该安全补丁以 crypto.getRandomValues() 取代 JavaScript 的 Math.random() 函数，为新生成的钱包种子提供加密安全的随机性，详情见相关提交。Math.random() 是 JavaScript 的通用伪随机数生成器，并非为安全关键用途而设计，而 crypto.getRandomValues() 则从底层的加密随机源获取数据。

更新后的实现还会拒绝特定的随机字节值，以消除在将随机数据转换为 Qubic 所使用的 55 字符种子时产生的统计偏差。

该修正保护的是新生成的种子，但无法保护以存在漏洞的方式创建的钱包受影响用户需要使用以安全方式生成种子的全新钱包，并在网络交易恢复且团队提供迁移指引后转移所有剩余资产。Qubic 还提醒用户警惕主动提供的恢复协助以及索取钱包种子或私钥的行为。