區塊鏈安全公司 SlowMist 發布了一份分析報告，描述了 Qubic 錢包實作中的一個漏洞：在特定條件下，攻擊者可能僅憑六次觀測即可重建私鑰。這一發現引發了對受影響錢包軟體使用者安全的擔憂，也使人質疑其金鑰處理流程所依賴的密碼學假設。

根據 SlowMist 的報告，該漏洞的核心在於一個條件：攻擊者只要收集六次觀測即可重建私鑰。SlowMist 將這一發現歸功於其自身的研究團隊，並將其定性為錢包層級的漏洞，而非 Qubic 網路本身的缺陷。該公司公布的發現並未證實有任何實際攻擊發生。

為何六次觀測構成核心風險

六次觀測這一門檻的重要性，在於它對錢包金鑰生成或簽名流程所隱含的問題。私鑰是控制錢包資金存取的唯一憑證。錢包軟體正是生成、儲存這些金鑰並用其簽署交易的層級，這也是為什麼此層級的實作缺陷往往會受到安全研究人員的密切關注。如果私鑰能從有限數量的可觀測輸出中被還原，攻擊者面臨的實際門檻就會大幅降低。

這類弱點有別於需要窮舉計算的暴力破解攻擊，因為它將攻擊者的任務簡化為收集少量資料點。SlowMist 的分析指出，六次觀測即為足以啟動還原的所述條件。

該公司過去也曾標記其他協定中的窄條件漏洞。在較早的一個案例中，SlowMist 報告了 Argent 類型智慧錢包系統中 59,800 美元的損失，攻擊者利用特定合約條件盜取資金。這一模式反映了該公司對細微實作缺陷的關注，而非大規模的基礎設施攻擊。

研究簡報中有若干重要技術細節尚未明確。所需觀測的類型、涉及的密碼學簽名方案，以及觀測必須在鏈上還是鏈下收集，現有資料均未詳述。在 SlowMist 或 Qubic 專案的官方技術文件釐清這些要點之前，讀者不應臆測任何特定的攻擊流程。

對 Qubic 錢包使用者與開發者的影響

對錢包使用者而言，這一發現的含義很直接：私鑰外洩是錢包漏洞可能導致的最嚴重後果，因為它使攻擊者對相關資金擁有完全且不可逆轉的控制。與可能僅限於協定層資產的智慧合約漏洞不同，私鑰被還原會影響受入侵錢包中持有的每一項資產。

SlowMist 並未指明哪些具體錢包版本、軟體實作或使用者群體屬於此漏洞的影響範圍。現有研究資料無法證實是否已發布修補程式、Qubic 專案是否已在協調式披露流程下獲得通知，或是否有任何使用者資金損失。協調式披露——即在公開報告之前或同時，私下向受影響專案報告缺陷以便準備修復方案——是加密貨幣安全研究的普遍規範，其在本案中的進展仍是待釐清的公開紀錄之一。

這種不確定性與 SlowMist 較早前的一項發現相似：該公司曾標記 Set Protocol 中因計算問題導致的 5.08 ETH 損失——該案例的影響範圍同樣狹窄，但實際造成了財務損失。

基於或整合 Qubic 錢包功能的開發者，應將所報告的六次觀測還原條件視為一個提醒，審計金鑰生成與簽名實作中任何可能造成可觀測洩漏的來源。在本報告所審閱的資料中，SlowMist 並未公開說明修復路徑。

SlowMist 的錢包漏洞披露紀錄

SlowMist 是一家總部位於中國的區塊鏈安全公司，定期發布跨多條鏈與多種錢包實作的漏洞分析和事件復盤。其發表的研究涵蓋智慧合約邏輯缺陷與密碼學實作弱點。在另一個案例中，該公司標記了歸因於 VestingManager 缺陷的 86,000 美元 UNCX 代幣損失，再次體現其識別並披露生產系統中具體、有界漏洞的一貫模式。

Qubic 錢包的這一發現遵循了相同的披露模式。SlowMist 將該分析歸於自身研究，並將其呈現為對受影響使用者的安全風險，但並未聲稱已證實存在實際攻擊。Qubic 開發團隊是否已承認該漏洞或發布修復方案，在現有紀錄中仍無法證實。

在 SlowMist 或 Qubic 專案提供官方指引之前，錢包使用者應謹慎對待分析中標記的任何系統，避免在不受信任的環境中執行簽名操作，並持續關注 Qubic 專案的官方渠道以獲取協調式安全公告，以及任何說明相關觀測類型與簽名方案的後續技術文件。

免責聲明：本文僅供資訊參考，不構成財務或投資建議。加密貨幣與數位資產市場具有重大風險。讀者在做出決策前應自行進行研究。