«ما دامت العبارة التذكيرية بحوزتي، فهي آمنة» — لكن هذا يفترض أن العشوائية كانت عشوائية حقًا لحظة توليدها. وهذا بالضبط ما تعثّر فيه Qubic نهاية هذا الأسبوع.
10/18 من 07:42 إلى 09:26 (UTC+8)／10/17 من 23:42 إلى 10/18 01:26 UTC، أفرغ المهاجمون 1,404 محفظة Qubic، وسرقوا ما مجموعه نحو 2.94 تريليون QU (وتقدّر وسائل الإعلام قيمتها بنحو 1.3 إلى 1.4 مليون دولار). وقالت الجهة الرسمية إن المشكلة لم تكن في سلسلة الكتل نفسها، بل في ضعف العشوائية عند إنشاء بذور المحافظ، ما جعل تخمينها أسهل مما ينبغي.
الأمر واضح جدًا في الشيفرة: في commit الإصلاح لمحفظة Qubic الرسمية، كان الإصدار القديم يستخدم Math.random() في JavaScript لاختيار 55 حرفًا واحدًا تلو الآخر لتكوين البذرة، بينما انتقل الإصدار الجديد إلى crypto.getRandomValues(). وتنص الوثائق صراحةً على أن الأول لا يصلح للاستخدامات الأمنية، أما الثاني فهو مولّد عشوائية مخصص للتشفير.
شروط التأثر التي ذكرتها الجهة الرسمية:
1. إنشاء المحفظة قبل 10/18 على iPhone／iPad باستخدام أي متصفح
2. إنشاؤها قبل 10/18 على Mac باستخدام Safari
3. إنشاؤها قبل يوليو 2025 باستخدام تطبيق Qubic لنظام iOS
حتى استخدام Chrome على iPhone كان ضمن الحالات المتأثرة، وهو ما يتوافق مع أن متصفحات iOS تشترك غالبًا في محرك Safari (هذا استنتاجي، ولم تقدم الجهة الرسمية تفاصيل بعد).
التطورات اللاحقة: أوقفت عُقد التحقق الشبكة مؤقتًا. وظل 87.1% من عملة QU المسروقة عالقًا على السلسلة، من دون إمكانية تحريكه، بينما نُقل 12.9% إلى MEXC وجُمّد خلال نحو ساعة؛ كما أوقفت منصة التداول إيداع QUBIC وسحبه. وسيُحسم ما يجب فعله عبر تصويت عُقد التحقق التابعة لـ Qubic، على أن يصدر التقرير التقني الكامل لاحقًا.
حتى إن لم تكن تملك QU، فهناك درس يستحق التذكر: «البرنامج الذي يولّد» بذرة المحفظة لا يقل أهمية عن «تدوينها على الورق». ففي عام 2023، واجهت إضافة متصفح Trust Wallet وLibbitcoin Explorer أيضًا مشكلات مماثلة بسبب ضعف العشوائية. قبل إيداع مبالغ كبيرة، تحقّق من كيفية توليد المحفظة لبذرتها، وما إذا كان مصدر البرنامج مفتوحًا وقابلًا للمراجعة.
لحماية نفسك: تقول Qubic الرسمية إنها لن تراسلك على انفراد من تلقاء نفسها، ولن تطلب بذرتك، ولن تتقاضى رسومًا مقابل «استعادتها نيابةً عنك». تعامل مع أي رسالة من هذا النوع على أنها احتيال.
المصادر: حساب Qubic الرسمي على X (10/18)، وcommit إصلاح qubic/wallet على GitHub، وCointelegraph (10/19)｜ليس نصيحة استثمارية
10/18 من 07:42 إلى 09:26 (UTC+8)／10/17 من 23:42 إلى 10/18 01:26 UTC، أفرغ المهاجمون 1,404 محفظة Qubic، وسرقوا ما مجموعه نحو 2.94 تريليون QU (وتقدّر وسائل الإعلام قيمتها بنحو 1.3 إلى 1.4 مليون دولار). وقالت الجهة الرسمية إن المشكلة لم تكن في سلسلة الكتل نفسها، بل في ضعف العشوائية عند إنشاء بذور المحافظ، ما جعل تخمينها أسهل مما ينبغي.
الأمر واضح جدًا في الشيفرة: في commit الإصلاح لمحفظة Qubic الرسمية، كان الإصدار القديم يستخدم Math.random() في JavaScript لاختيار 55 حرفًا واحدًا تلو الآخر لتكوين البذرة، بينما انتقل الإصدار الجديد إلى crypto.getRandomValues(). وتنص الوثائق صراحةً على أن الأول لا يصلح للاستخدامات الأمنية، أما الثاني فهو مولّد عشوائية مخصص للتشفير.
شروط التأثر التي ذكرتها الجهة الرسمية:
1. إنشاء المحفظة قبل 10/18 على iPhone／iPad باستخدام أي متصفح
2. إنشاؤها قبل 10/18 على Mac باستخدام Safari
3. إنشاؤها قبل يوليو 2025 باستخدام تطبيق Qubic لنظام iOS
حتى استخدام Chrome على iPhone كان ضمن الحالات المتأثرة، وهو ما يتوافق مع أن متصفحات iOS تشترك غالبًا في محرك Safari (هذا استنتاجي، ولم تقدم الجهة الرسمية تفاصيل بعد).
التطورات اللاحقة: أوقفت عُقد التحقق الشبكة مؤقتًا. وظل 87.1% من عملة QU المسروقة عالقًا على السلسلة، من دون إمكانية تحريكه، بينما نُقل 12.9% إلى MEXC وجُمّد خلال نحو ساعة؛ كما أوقفت منصة التداول إيداع QUBIC وسحبه. وسيُحسم ما يجب فعله عبر تصويت عُقد التحقق التابعة لـ Qubic، على أن يصدر التقرير التقني الكامل لاحقًا.
حتى إن لم تكن تملك QU، فهناك درس يستحق التذكر: «البرنامج الذي يولّد» بذرة المحفظة لا يقل أهمية عن «تدوينها على الورق». ففي عام 2023، واجهت إضافة متصفح Trust Wallet وLibbitcoin Explorer أيضًا مشكلات مماثلة بسبب ضعف العشوائية. قبل إيداع مبالغ كبيرة، تحقّق من كيفية توليد المحفظة لبذرتها، وما إذا كان مصدر البرنامج مفتوحًا وقابلًا للمراجعة.
لحماية نفسك: تقول Qubic الرسمية إنها لن تراسلك على انفراد من تلقاء نفسها، ولن تطلب بذرتك، ولن تتقاضى رسومًا مقابل «استعادتها نيابةً عنك». تعامل مع أي رسالة من هذا النوع على أنها احتيال.
المصادر: حساب Qubic الرسمي على X (10/18)، وcommit إصلاح qubic/wallet على GitHub، وCointelegraph (10/19)｜ليس نصيحة استثمارية