كشف تحليل ثغرة في محفظة Qubic عن مشكلة أمنية يسهل إغفالها: ليس من الضروري سرقة المفتاح الخاص مباشرةً؛ فمجرد إمكانية التنبؤ بالأرقام العشوائية المستخدمة في إنشائه قد تتيح للمهاجمين استعادة السيطرة على الحساب.

اكتشف فريق SlowMist أن Math.random() المستخدمة في Qubic Wallet غير مناسبة لإنشاء بذور حسابات تتطلب أمانًا تشفيريًا، كما أن بعض مخرجات سلسلة الأرقام العشوائية نفسها تُدرج في حقل dejaVu ضمن حزم بيانات الشبكة. ووفقًا لإثبات المفهوم (PoC) المحلي الذي أعده الفريق، فإن الحصول على 6 قيم مترابطة متتالية في ظروف معينة قد يتيح استعادة الحالة الداخلية لمولّد الأرقام العشوائية، ومن ثم إعادة بناء بذرة الحساب والمفتاح الخاص.

تكمن خطورة هذا النوع من الثغرات في أن المحفظة قد تبدو طبيعية تمامًا، بينما يصعب على المستخدم معرفة ما إذا كان حسابه معرّضًا للخطر. فالمشكلة الأمنية كامنة في التنفيذ الداخلي، ولا يمكن التعويل على المستخدمين لتفاديها عبر ممارساتهم اليومية.

مع ذلك، يعرض التقرير مسارًا محتملًا للهجوم، ولا يكفي وحده للجزم بأن حوادث سرقة QU السابقة نُفذت بهذه الطريقة. وقد أفصحت Qubic سابقًا عن سرقة 1,404 محافظ، بخسائر بلغت نحو 2.94 تريليون QU. وينبغي للمستخدمين المعنيين الرجوع إلى الإعلانات الأمنية وخطط المعالجة التي ينشرها المشروع.