攻擊者利用以弱隨機性產生的恢復種子，從超過 1,400 個用戶錢包盜取約 140 萬美元的代幣後，Qubic 已暫停其 layer-1 區塊鏈。

網路於 10 月 18 日星期日在 tick 85,371,949 停止運作，截至週一仍處於暫停狀態。該項目表示，此次攻擊中被盜的 Qubic 代幣（QU）約為 2.94 兆枚。

弱隨機性導致私鑰外洩

據 Qubic 核心團隊表示，攻擊者鎖定恢復種子以不足隨機性產生的錢包，使其對應的私鑰更容易被推算出來。隨機性越弱，攻擊者需要搜尋的可能金鑰空間就越小。竊取行為發生於 10 月 17 日 23:42 UTC 至 10 月 18 日 01:26 UTC 之間。

Security incident update. Between 23:42 UTC on 17 October and 01:26 UTC on 18 October, an attacker drained 1,404 Qubic wallets, totalling around 2.94 trillion QU. Here is what happened, what has been done, and what comes next. pic.twitter.com/7aPJ26lEeZ — Qubic (@Qubic) October 18, 2026

大部分被盜資金仍處於凍結狀態

Qubic 表示，87.1% 的被盜資金——約 2.56 兆枚代幣——從未離開其網路，目前已在原處凍結。其餘 12.9%，約 3,792.6 億枚代幣，被轉入加密貨幣交易所 MEXC。該項目表示，MEXC 在約一小時內凍結了收款帳戶，隨後應項目方要求暫停 Qubic 的存提款。這樣的分配意味著大部分的追回工作取決於 Qubic 自身的網路流程，而交易所持有部分則取決於 MEXC 的管控措施。

交易所 XT 另於 10 月 18 日以錢包升級與維護為由，暫停 Qubic 與 Kasplex 網路的存提款服務。

Qubic 尚未證實任何被盜代幣已歸還給持有者，也尚未說明追回機制將如何運作。

漏洞出在包軟體，而非區塊鏈本身

該漏洞源於 Qubic 的錢包軟體，而非區塊鏈協議本身。恢復種子用於產生控制加密資產的私鑰。這個區別很重要：協議本身並未遭到破壞，但個人資產仍面臨直接風險。

受影響的錢包包括：2026 年 10 月 18 日之前在 iPhone 或 iPad 上以任何瀏覽器產生種子的錢包；同日期之前在 Mac 上以 Safari 產生的種子，以及 2025 年 7 月之前透過 Qubic iOS 應用程式產生的種子，也同樣受到影響。

開發人員已在網頁錢包 4.26.4 版修補此漏洞。GitHub 更新顯示，團隊以 crypto.getRandomValues() 取代 JavaScript 的 Math.random() 函式，前者是專為產生密碼學安全隨機值而設計的介面。此修補僅涵蓋新產生的錢包種子，Qubic 尚未表示以舊版軟體產生的恢復助記詞是否安全。

弱種子攻擊的一貫模式

此次事件是與弱錢包種子相關案例中的最新一起。2026 年 7 月，攻擊者因韌體漏洞，從約 500 個 Coldcard 錢包盜取約 594 枚比特幣，價值 3,800 萬美元。2023 年，類似漏洞影響了 Trust Wallet 的瀏覽器擴充功能與 Libbitcoin Explorer 工具。Libbitcoin 的問題被稱為 Milk Sad，與超過 90 萬美元的比特幣失竊有關。

根據 AMLBot 的 2026 年調查報告，駭客攻擊與漏洞利用佔第三季加密犯罪案件的 19%，但卻佔通報損失金額的 40%——佔比不高的案件類型卻造成不成比例的資金損失。

關於 Qubic 與後續發展

Qubic 是一條支援免手續費交易與智慧合約的 layer-1 區塊鏈。它採用有用工作量證明（Useful Proof of Work），將挖礦算力導向人工智慧訓練。據 CoinGecko 數據，該項目代幣市值約為 6,260 萬美元。

核心團隊目前正在識別受影響的錢包並準備追回方案。網路營運者「Computors」將就被凍結資金的處置方式進行表決，目前尚未批准任何追回方案。Qubic 表示，待方案確定後將發布完整技術報告，且尚未公布網路重啟時間。

來源：Blockonomi