熵源枯竭致千钱包被盗，Qubic 紧急停机

据 Woofun AI 消息，主打实用型工作量证明与人工智能概念的 Layer 1 区块链 遭遇严重黑客攻击，根源在于客户端存在关键安全漏洞。此次事件并非针对底层共识协议的直接篡改，而是攻击者利用前端钱包环境在生成私钥助记词时伪随机数生成器熵源不足的缺陷，实施了大规模的定向爆破。

这一技术盲区导致大量用户资产在极短时间内被非法转移，迫使网络采取极端应急措施以阻断损失扩大。

攻击发生在 10 月 17 日 23:42 至 10 月 18 日 01:26 UTC 期间，历时不到两小时。黑客通过批量推算私钥，清空了 1404 个 Qubic 独立钱包地址，累计转走约 2.94 万亿枚网络原生代币 。

Woofun AI 整理数据显示，受害范围具有高度集中的平台特征，精准指向 WebKit 内核及其移动端底层在特定时间窗口内的熵池缺陷。具体而言，漏洞覆盖了 2026 年 10 月 18 日前在 iPhone 或 iPad 任意移动端浏览器内创建的钱包私钥、同日期之前在 Mac 端 Safari 浏览器中生成的私钥，以及 2025 年 7 月前通过 Qubic iOS 官方应用所生成的历史账户。在非对称密码学体系中，若客户端未能从操作系统底层提取充足的物理噪声与高强度随机熵，攻击者便能利用预先构建的熵空间彩虹表或算力阵列实施暴力遍历反推。由于受害私钥的空间分布被大幅压缩，黑客得以高效完成资金转移，而底层区块链协议共识未受直接篡改。

面对失控的链上异常流转，Qubic 网络在 tick 85,371,949 处执行了硬性停机中断。在被盗的 2.94 万亿枚 QU 中，有 87.1% 的资金尚未完成跨链兑现，仍沉淀在 Qubic 网络原生地址内并已被节点全局冻结阻断；剩余 12.9% 的代币虽已潜入中心化交易所 ，但关联充值账户已被平台风控系统实施针对性查封。

这一高效的阻断机制得益于 Qubic 独特的仲裁与验证架构。网络由 676 个被称为 Computor 的固定主节点构成验证仲裁法定人数（Quorum）。在突发重大安全事件时，主节点仲裁委员会能够依据共识规则迅速达成协调一致，冻结异常地址的转账权限并叫停全网状态推进，防止攻击者进一步通过去中心化资金池洗劫流动性。

该起事件暴露出 Web3 基础设施将密码安全过度寄托于客户端单点环境的脆弱性。虽然 Qubic 官方强调协议底层逻辑运转正常，但对于普通持币者而言，客户端与底层公链的信任绑定不可分割。历史设备生成的助记词一旦存在后门级熵缺陷，非托管钱包原本宣扬的资产绝对掌控权便不攻自破。如何在去中心化记账与紧急干预之间取得平衡，亦将成为后续处理的技术争议点。冻结链上资产并在共识层叫停全网运行，虽然最大限度保全了近九成的涉案资产，但在客观上也引发了社区关于去中心化审查抗性与节点中心化权力的重新审视。Qubic 核心开发团队已在 4.26.4 升级版本中完成了随机数生成模块的代码重构与补丁修复，后续被盗资产的具体处置与状态恢复方案将交由 Computor 仲裁委员会按网络投票规则决议，完整技术事故报告将在资金追索路径明朗后公开发布。