攻擊者利用易受攻擊軟體所產生的可預測錢包種子，清空了1,404個錢包內約2.94兆枚QU代幣，價值約130萬美元，Qubic因此暫停其區塊鏈。

竊案發生於2026年10月17日23:42 UTC至10月18日01:26 UTC之間。Qubic的Computors在tick 85,371,949協調執行緊急網路停機，在開發團隊調查受影響錢包的同時停止了後續交易。團隊透過在X上的官方貼文宣布了停機消息。

圍堵措施大致奏效。約87.1%的被竊代幣仍停留在已停擺的網路上，其餘12.9%流入加密貨幣交易所MEXC，MEXC已凍結收款帳戶。資金目前已被凍結，但最終能否追回及如何分配仍未有定論。

脆弱的錢包種子使逾1,400個帳戶暴露於風險

攻擊者利用錢包復原種子生成過程中隨機性不足的弱點，使產生的私鑰容易被預測。由於復原種子是錢包衍生私鑰的根憑證，生成階段的弱點會使這些私鑰所控制的每個地址都面臨風險。受影響的環境包括2026年10月18日之前在iPhone或iPad上運行的任何瀏覽器、同日期之前的macOS版Safari，以及2025年7月之前的Qubic iOS應用程式。

此缺陷存在於錢包種子生成環節，而非Qubic底層的共識或交易驗證規則。使用可預測種子建立的地址，即使其擁有者近期未與惡意應用程式互動或簽署可疑交易，仍處於暴露狀態。

種子生成時的弱隨機性是業界先前也曾出現的失敗模式。Ill錢包缺陷曾因復原片語生成過程隨機性不足而暴露加密貨幣地址，另外一個Coldcard漏洞也影響了生成安全性不足的Bitcoin種子的硬體錢包。

Qubic的受影響錢包紀錄顯示，事件期間共有2,939,606,531,944枚QU被轉入七個收集地址。即使未被列入已確認的竊案，透過易受攻擊環境建立的錢包仍可能已遭入侵。

Qubic發布版本4.26.4修復種子生成

10月18日，Qubic發布錢包版本4.26.4，已於GitHub上發表，對其種子生成流程進行修正。該安全修補以crypto.getRandomValues()取代JavaScript的Math.random()函式，為新生成的錢包種子提供加密安全的隨機性，詳情見相關commit。Math.random()是JavaScript的通用偽隨機產生器，並非為安全性關鍵用途而設計，而crypto.getRandomValues()則取自底層的加密隨機來源。

更新後的實作也會拒絕特定的隨機位元組值，以消除將隨機資料轉換為Qubic所使用的55字元種子時的統計偏差。

此修正可保護新生成的種子，但無法保護以易受攻擊方法建立的錢包。受影響的用戶需要使用安全生成種子的全新錢包，並在網路交易恢復且團隊提供遷移指示後，轉移剩餘資產。Qubic也警告用戶提防未經請求的追回協助以及索取錢包種子或私鑰的要求。

網路維持凍結 追回方案由Computors決定

Qubic的緊急應變阻止了大部分被竊資金流出其自身網路，MEXC則凍結了流入交易所的部分。Computor叢集將透過網路的治理程序決定後續的追回行動。

此次事件發生前不久，Cysic的跨鏈橋遭攻擊，攻擊者鑄造了1,000萬枚未經授權的CYS代幣，並在跨鏈橋被暫停前將約72.7萬美元的贓款轉移至Ethereum。

Qubic正在識別其他可能暴露的地址，並評估如何在恢復正常運作前保護剩餘餘額。據報導其QEARN質押系統未受影響，但網路層級的交易處理仍處於暫停狀態。在事件解決之前，各交易所也已限制QU轉帳，阻止透過受影響平台進行額外的存入與提領。

Qubic計畫在追回方案定案後發布完整的技術報告。Computor法定人數尚未宣布最終的補償決定，也未確認網路重啟日期。

來源：Crypto Adventure