2026-10-17事件
弱种子钱包遭批量转移
攻击者通过预测脆弱钱包种子访问1,404个账户。
Qubic Web Wallet 弱随机数种子事件事件 · 归零档案
旧版 Qubic Web Wallet 在部分 Apple 设备与浏览器上使用可预测随机数生成种子，1,404个钱包约2.94万亿 QU 被转走，事发时价值约140万美元。
旧版 Qubic Web Wallet 在部分 Apple 设备与浏览器上使用可预测随机数生成种子，1,404个钱包约2.94万亿 QU 被转走，事发时价值约140万美元。
暴雷时间线
接口实时同步2026-10-18处置进展
网络暂停并冻结处置
网络暂停以限制资金继续移动，并推进受影响余额保护。
2026-10-19处置进展
钱包4.26.4修复随机数
新版本改用密码学安全随机源，项目要求旧钱包用户迁移。
2026-10-20处置进展
网络恢复并开放索赔
链恢复运行，项目启动受影响用户的资产申领流程。
链上证据
项目官方公告 / 公开事件记录弱种子钱包遭批量转移，1,404 个账户受影响CRITICAL
攻击者通过预测脆弱钱包随机数种子访问 1,404 个账户并转移资产，属钱包端密钥生成缺陷。 · 受影响钱包（1,404 个） → 攻击者地址 · 项目官方公告 · 受影响账户 1,404 个
钱包 4.26.4 改用密码学安全随机源EVIDENCE
新版本钱包改用密码学安全随机源修复种子生成问题；项目要求旧钱包用户迁移。网络于 10-20 恢复并开放受影响用户申领。 · 项目官方公告 · 修复版本 钱包 4.26.4
损失分布与影响范围
公开报告损失约140万美元以事件披露时公开估值记录，后续可能调整。
主要攻击路径钱包种子随机数不足按当前公开调查结论归类。
受影响网络Qubic记录直接受影响的主要网络或基础设施。
旧版 Qubic Web Wallet 在部分 Apple 设备与浏览器上使用可预测随机数生成种子，1,404个钱包约2.94万亿 QU 被转走，事发时价值约140万美元。
攻击路径：钱包端弱随机数：种子可被预测导致密钥安全失效，属钱包实现缺陷而非链上协议问题。
处置与后续：网络暂停冻结、钱包修复随机源、恢复后开放申领，形成完整闭环。
社区情绪反转
2026-10-17 至 2026-10-20弱种子钱包遭批量转移攻击者通过预测脆弱钱包种子访问1,404个账户。
网络暂停并冻结处置网络暂停以限制资金继续移动，并推进受影响余额保护。
钱包4.26.4修复随机数新版本改用密码学安全随机源，项目要求旧钱包用户迁移。
网络恢复并开放索赔链恢复运行，项目启动受影响用户的资产申领流程。
事件披露后，社区关注从异常资金流出迅速转向攻击根因、项目响应速度、资产安全边界和补偿安排；当前结论仍应随官方复盘更新。
法律进展
已修复并开放申领用户申领
网络恢复并启动受影响用户资产申领
链恢复运行后，项目启动受影响用户的资产申领流程；公开记录未见刑事立案。 · 申领进行中 · 项目官方公告
公开记录未见刑事立案；受影响用户经申领流程受偿。
教训与启示
1权限与密钥最小化
定期盘点管理员、签名者、授权地址和遗留组件，撤销不再需要的权限。 重点：权限与密钥最小化
2监控关键安全不变量
对异常铸造、治理权突增、报价偏离、桥接根写入和大额转账设置实时阻断。 重点：监控关键安全不变量
3预先演练事件响应
明确暂停、隔离、通知、证据保全和补偿决策流程，避免处置窗口被继续利用。 重点：预先演练事件响应
本事件显示，钱包种子随机数不足不能仅依赖上线前审计，必须配合持续监控、权限最小化和可快速执行的应急机制。
评论
暂无评论