تیم Qubic اعلام کرد ۸۷.۱ درصد از وجوهی که در حمله‌ی یکشنبه ۱۸ اکتبر (۲۶ مهر) از کیف پول‌های کاربران خارج شد، هرگز از شبکه بیرون نرفته و در همان آدرس‌ها متوقف مانده است. ۱۲.۹ درصد باقی‌مانده به صرافی MEXC رفت و این صرافی حدود یک ساعت بعد حساب دریافت‌کننده را مسدود کرد.
زنجیره هنوز متوقف است
شبکه‌ی لایه‌ی اول Qubic پس از این حمله در تیک ۸۵,۳۷۱,۹۴۹ متوقف شد و تا زمان انتشار گزارش منبع، هنوز از سر گرفته نشده بود. تاریخی هم برای راه‌اندازی دوباره اعلام نشده است. بر اساس این گزارش، مهاجم حدود ۱.۴ میلیون دلار، معادل ۲.۹۴ تریلیون توکن QU، را از بیش از ۱,۴۰۰ حساب خارج کرده بود.
رای‌گیری درباره‌ی سرنوشت وجوه
به گفته‌ی Qubic، تیم اصلی پروژه در حال شناسایی کیف پول‌های آسیب‌دیده و آماده کردن گزینه‌های بازیابی است. تصمیم نهایی درباره‌ی وجوه متوقف‌شده با رای Computorها، یعنی مشارکت‌کنندگانی که در این شبکه حق رای دارند، گرفته می‌شود. زمان رای‌گیری و جزئیات طرح بازیابی هنوز منتشر نشده و پروژه گفته است گزارش فنی کامل را پس از نهایی شدن طرح منتشر می‌کند.
ریشه‌ی مشکل: تولید ضعیف عبارت بازیابی
Qubic علت حادثه را ساخت عبارت‌های بازیابی (Seed) با تصادفی‌سازی ضعیف می‌داند. کیف پول وب این پروژه برای ساخت Seed از تابع Math.random() جاوااسکریپت استفاده می‌کرد که برای تولید اسرار رمزنگاری مناسب نیست. این ضعف این موارد را در بر می‌گرفت:
- Seedهای ساخته‌شده در هر مرورگری روی آیفون یا آیپد
- Seedهای ساخته‌شده در مرورگر Safari روی مک تا ۱۸ اکتبر ۲۰۲۶
- Seedهای ساخته‌شده در اپ iOS این پروژه پیش از ژوئیه ۲۰۲۵
پروژه در نسخه‌ی 4.26.4 کیف پول وب، این تابع را با crypto.getRandomValues() جایگزین کرد که از نظر رمزنگاری امن است.
وقتی پول سرقتی جابه‌جا می‌شود، آدرس‌های مرتبط با آن هم پرریسک می‌شوند. اگر از آدرسی ناشناس رمزارز دریافت می‌کنید، می‌توانید ریسک آن را در بررسی ریسک کیف پول SafeON ببینید.
منبع: کوین‌تلگراف