Qubic网络因种子生成漏洞遭攻击：130万美元资产被盗，多数资金被冻结

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

2026年10月18日凌晨，Qubic网络宣布暂停运营。此前，一名攻击者利用钱包恢复短语生成过程中的可预测性缺陷，成功窃取了约1,404个账户中的资产，涉及代币总量约为2.94万亿QU，当时市值约130万美元。

项目方明确指出，此次事件并非由协议代码漏洞引发，而是源于用户在创建钱包时所使用的种子生成机制存在安全隐患。若您曾在iPhone或iPad的浏览器中，或在Mac电脑的Safari浏览器中设置过Qubic钱包，应视为种子密钥可能已泄露至公开列表。

攻击时间窗口清晰，链上数据佐证

据多家媒体披露，本次攻击操作始于协调世界时（UTC）10月17日23:42，并于10月18日01:26结束，持续时间为1小时44分钟。在此期间，共计1,404个账户被清空。

尽管代币数量庞大，但因其单价极低，实际价值约为130万美元。随后，网络验证者在区块高度（Tick）85,371,949处主动暂停了区块链运行。在Qubic系统中，“Tick”相当于比特币中的“区块”，是衡量处理步骤的基本单位。网络停机后，所有交易活动终止，有效阻止了进一步的资金流出。

漏洞根源：种子生成非协议本身问题

种子密钥是生成私钥的核心基础，通常由55个小写字母构成。一旦掌握该字符串，即可完全控制对应钱包余额，无需密码或设备绑定。

开发团队强调，区块链底层程序未受侵害。真正的脆弱点出现在更早阶段——即这55位字符的生成过程。若软件未使用真正随机的熵源，而采用可重复模式，则攻击者可通过穷举法推导出所有可能的种子序列，进而扫描哪些种子关联到有效余额。

Qubic官方公告及链上分析平台Lookonchain均证实，此次攻击正是基于此原理实现。

“熵值不足”的真实含义

理论上，55个字符的组合空间极为庞大，远超现有计算能力范围。这种安全性依赖于每个字符均为不可预测的随机结果。然而，当实际熵源受限时，如设备刚启动、系统资源紧张，生成器可能返回弱随机序列，使整个种子看似复杂却极易被破解。

此时，55位字符串仅是一层伪装，攻击者无需逐个猜测，只需枚举软件可能输出的所有种子，再匹配余额即可完成批量盗取。

高风险用户群体：集中于Apple生态

Qubic已明确列出高风险场景：

• 2026年10月18日前，在iPhone或iPad任意浏览器中创建的钱包；
• 2026年10月18日前，在Mac电脑Safari浏览器中创建的钱包；
• 2025年7月前通过iOS版Qubic应用创建的钱包。

风险主要集中在Apple平台。原因在于，所有iOS和macOS上的浏览器均强制使用Safari渲染引擎，即使界面显示为其他浏览器。因此，一个引擎级漏洞会同时影响所有相关应用。

在Windows、Android或Linux系统上使用桌面应用或非Safari浏览器创建钱包的用户，目前不在风险范围内。但需注意，随着调查深入，受影响范围或将进一步扩大。

技术剖析：浏览器随机数生成的隐患

熵（Entropy）是衡量随机性真实程度的关键指标。操作系统通常从键盘敲击、传感器噪声、专用硬件单元等多源收集熵。但网页环境无法直接访问这些底层资源，只能通过接口请求随机数。

当系统初始熵不足时，生成的随机数质量下降，导致种子强度低于其长度所暗示的安全水平。用户难以察觉这一差异，其生成的种子外观与正常种子无异。

经验法则提醒：密钥生成路径越短越好。专用硬件设备能最大程度减少中间环节，提升安全性。

资金流向：多数资产被锁定，部分遭冻结

此案特殊之处在于，攻击者并未成功转移大部分被盗资金。数据显示，87.1%的QU仍保留在区块链上，由于网络已暂停，这些资产既无法移动也无法出售。

剩余12.9%流入交易所MEXC。MEXC发现异常资金流入后，在一小时内冻结了接收账户，因其怀疑该行为与攻击有关。这一快速响应有效遏制了被盗代币进入主流市场流通。

网络停机影响与后续应对措施

网络暂停虽保护了剩余资产不被抛售，但也导致所有持有者无法访问自己的余额。即便未受漏洞影响的用户，也暂时无法提取资产。这是项目方为防止更大损失而采取的必要代价。

质押功能QEARN不受本次事件影响。关于是否补偿受害者，目前尚未有明确方案，责任归属将由负责网络运营的Computor集群决定。截至目前，仅表示将由该集体做出最终决策。

两家交易平台已采取行动：MEXC冻结涉案账户，Bitget暂停QUBIC的充值与提现服务，防止非法代币通过合规渠道流通。软件方面，版本4.26.4已修复种子生成漏洞。开发团队还提前将部分高风险余额转移至安全地址。但需强调，新版本仅保障未来生成的种子安全，已有弱种子仍处于暴露状态。

市场反应与深层启示

截至周日晚，QU价格约为0.0000004268美元，总市值约6,140万美元，位列全球第385位，较前一日下跌13.6%。被盗金额占项目总市值约2%，对项目自身影响显著，但在整体加密市场中属于局部事件。

此案例意义深远：它揭示了区块链前端应用层面的安全盲区，而协议本身完好；弱点潜伏多年未被发现；且攻击目标正是最便捷的使用方式——秒级创建的浏览器钱包。

类似教训曾出现在OpenAI代理利用已知种子访问362个钱包的事件中。核心问题始终一致：你的密钥生成过程是否足够安全？

德国地区建议与税务处理指南

硬件钱包、软件钱包与交易所托管对比

关键在于谁掌控密钥生成权。硬件钱包在设备内部生成种子，不经过主机系统，安全性最高，但需自行备份并承担成本。软件钱包依赖设备随机源，若系统熵源不足则存在风险。交易所托管模式下，用户无需管理密钥，但需承担平台合规与运营风险。

转账非销售行为

根据德国税法规定，将代币转入新钱包不构成销售行为，不会重置一年免税持有期。重要的是保留获取记录（包括日期、地址、交易ID），以便税务软件准确识别资产归属，避免误判收益。

报警与维权建议

项目方呼吁受害者向警方报案。虽看似形式化，但这是未来申请解冻资金的重要法律依据。在德国，可通过警察局或在线警务平台提交报告，需提供攻击发生时间、受害地址、攻击者地址及所有权证明。目前项目方未承诺赔偿，最终决定权仍在Computor集群。

行动指南：如何防范种子泄露风险

确认来源：检查所有持有有意义余额的钱包，记录其创建方式。在Apple设备浏览器中生成的种子属于高风险类型，应在其他币种中也列入审查名单。

生成新种子：建议通过最短路径生成全新随机种子。优先选择专用硬件设备设置新钱包，完成余额转移后废弃旧地址。

谨慎托管：对于不适合自托管的大额资产，可考虑持有欧盟MiCA牌照的受监管交易所进行托管，以降低平台违约或黑客攻击带来的风险。

目前Qubic网络仍处于停机状态，重启时间及冻结资金处理方案尚未公布。在此之前，最关键的教训是重新审视每一个钱包：你的随机性究竟来自哪里？