区块链安全公司慢雾（SlowMist）发布分析报告，描述了 Qubic 钱包实现中的一个漏洞：在特定条件下，攻击者可能仅通过六次观测即可重建私钥。这一发现引发了受影响钱包软件用户对安全性的担忧，也使该钱包密钥处理流程所依赖的密码学假设受到质疑。

根据慢雾的报告，该漏洞的核心在于一种特定条件：攻击者收集六次观测后即可重建私钥。慢雾将这一发现归功于其自身研究团队，并将其定性为钱包层面的漏洞，而非 Qubic 网络本身的缺陷。该公司发布的调查结果并未确认存在实际利用。

为什么六次观测构成核心风险

六次观测阈值的重要性在于它对钱包密钥生成或签名流程所揭示的问题。私钥是控制钱包资金访问的唯一凭证。钱包软件是生成、存储这些密钥并用其签署交易的层面，这也正是实现层面的缺陷往往受到安全研究人员密切关注的原因。如果私钥可以从有限数量的可观测输出中被恢复，攻击者面临的实际门槛就会大幅降低。

这一类弱点与需要穷举计算的暴力破解攻击不同，因为它将攻击者的任务简化为收集少量数据点。慢雾的分析将六次观测设定为足以实现私钥恢复的既定条件。

该公司此前在其他协议中也标记过窄条件漏洞。在一个较早的案例中，慢雾报告了 Argent 类智能钱包系统中 59,800 美元的损失，攻击者利用特定合约条件抽走了资金。这一模式反映出该公司关注的是细微的实现缺陷，而非大规模基础设施攻击。

研究简报中若干重要技术细节仍未明确。所需观测的类型、所涉及的密码学签名方案，以及观测必须在链上还是链下收集，现有材料均未详细说明。在慢雾或 Qubic 项目的官方技术文档澄清这些问题之前，读者不应假设任何特定的攻击流程。

对 Qubic 钱包用户和开发者的启示

对钱包用户而言，这一发现带来一个直接的启示：私钥暴露是钱包漏洞可能造成的最严重后果，因为它使攻击者对相关资金获得完全且不可撤销的控制。与可能仅限于协议层资产的智能合约漏洞不同，私钥被恢复会影响被攻陷钱包中持有的所有资产。

慢雾并未指明哪些具体的钱包版本、软件实现或用户群体属于该漏洞的影响范围。现有研究材料无法确认是否已发布补丁、Qubic 项目是否已通过协调披露流程获知该问题，以及是否有用户资金遭受损失。协调披露——即在公开发布之前或同时向受影响项目私下报告缺陷以便准备修复——是加密货币安全研究的常见规范，其在本案中的进展状态仍属未决信息。

这种不确定性与此前的慢雾发现类似：该公司曾标记 Set Protocol 因计算问题导致的5.08 ETH 损失——该案例的影响范围同样狭窄，但财务损失是真实的。

在 Qubic 钱包功能之上构建或集成该功能的开发者，应将报告的六次观测恢复条件视为一个提示，审计密钥生成和签名实现中是否存在任何可观测泄露的来源。慢雾在本报告所审阅的材料中并未公开说明修复路径。

慢雾在钱包漏洞披露方面的记录

慢雾是一家总部位于中国的区块链安全公司，长期针对多条链和多种钱包实现发布漏洞分析与事件复盘。其发布的研究涵盖智能合约逻辑缺陷和密码学实现弱点。在另一个案例中，该公司标记了因 VestingManager 缺陷导致的 86,000 美元 UNCX 代币损失，再次体现了其识别并披露生产系统中具体的、有边界漏洞的一贯模式。

Qubic 钱包的这一发现延续了这种披露模式。慢雾将该分析归功于自身研究，并将其作为受影响用户面临的安全风险提出，但未声称已确认实际利用。Qubic 开发团队是否已确认该漏洞或发布修复，在现有记录中仍未得到证实。

在慢雾或 Qubic 项目发布官方指引之前，钱包用户应谨慎对待分析中被标记的任何系统，避免将签名操作暴露于不可信环境，并关注 Qubic 项目的官方渠道以获取协调安全公告，以及明确所涉观测类型和签名方案的后续技术文档。

免责声明：本文仅供参考，不构成财务或投资建议。加密货币和数字资产市场存在重大风险。读者在做出决策前应自行开展研究。