1.404 ví Qubic đã bị rút sạch trong chưa đầy hai giờ, với khoảng 2,94 nghìn tỷ QU bị đánh cắp.
Tính ngẫu nhiên không đủ khiến một số seed ví dễ đoán hơn, làm suy yếu mức độ bảo mật vốn được kỳ vọng ở định dạng seed 55 ký tự của Qubic.
Lỗ hổng bắt nguồn từ quá trình tạo seed ví, chứ không phải từ chính giao thức Qubic.
Trong khoảng thời gian từ 23:42 UTC ngày 17 tháng 10 đến 01:26 UTC ngày 18 tháng 10, kẻ tấn công đã rút tiền có hệ thống khỏi 1.404 ví Qubic, với tổng số tiền khoảng 2,94 nghìn tỷ QU. Cuộc tấn công diễn ra trong chưa đầy hai giờ, nhưng khoảng thời gian đó đã đủ để rút sạch hơn một nghìn ví trước khi mạng lưới kịp phản ứng.
Lỗ hổng không nằm trong chính giao thức QubQUic. Vấn đề nằm ở cách tạo một số seed ví. Một số seed được tạo bằng nguồn ngẫu nhiên không đủ mạnh, khiến tập hợp các tổ hợp có thể dự đoán nhỏ hơn so với yêu cầu thiết kế của định dạng seed 55 ký tự.
Hơn nữa, thay vì vét cạn một số lượng khả năng khổng lồ, kẻ tấn công đã tái dựng tập hợp seed có thể dự đoán bị thu hẹp đó, xác định những seed nào có tiền rồi rút sạch chúng.
Những ví nào bị ảnh hưởng và mạng lưới đã phản ứng ra sao?
Seed có nguy cơ bị xâm phạm nếu được tạo trên iPhone hoặc iPad bằng bất kỳ trình duyệt nào trước ngày 18 tháng 10 năm 2026, trên máy Mac dùng Safari trước ngày 18 tháng 10 năm 2026 hoặc trong ứng dụng Qubic dành cho iOS trước tháng 7 năm 2025. Ngoài ra, nếu ví thuộc bất kỳ trường hợp nào trong số này, hãy xem ví đó là đã bị xâm phạm.
Computor, các trình xác thực mạng của Qubic, đã phối hợp tạm dừng mạng để bảo vệ người dùng tại tick 85,371,949, khóa sổ cái tại thời điểm đó. Đồng thời, việc này ngăn mọi giao dịch tiếp theo được xử lý. Quyết định duy nhất đó đã hạn chế phần lớn thiệt hại.
Do đó, 87,1% số tiền bị rút chưa bao giờ rời khỏi mạng Qubic và vẫn bị đóng băng trên chuỗi, không thể di chuyển hoặc bán trong khi tình hình đang được xử lý. 12,9% còn lại được chuyển đến MEXC, nơi đội ngũ của sàn đã đóng băng tài khoản nhận trong khoảng một giờ sau giao dịch. Kể từ đó, tất cả các sàn giao dịch đã tạm ngừng nạp và rút QUBIC.
Đã triển khai bản cập nhật bảo mật
Quy trình tạo seed đã được khắc phục trong phiên bản 4.26.4. Kể từ thời điểm này, không thể tạo thêm seed yếu. Mọi quyết định liên quan đến số tiền bị đóng băng và các ví bị ảnh hưởng đều thuộc thẩm quyền của nhóm Computor theo quy tắc riêng của mạng lưới. Đội ngũ Core đang xác định tất cả các ví bị ảnh hưởng và chuẩn bị các phương án để nhóm Computor xem xét. Hiện có một cuộc thăm dò ý kiến cộng đồng trên Discord để giúp Computor nắm rõ quan điểm của cộng đồng trước khi đưa ra quyết định.
Người dùng bị ảnh hưởng nên làm gì
Hãy gửi báo cáo cho cảnh sát hoặc cơ quan phòng chống tội phạm mạng tại quốc gia của bạn. Trong báo cáo, hãy nêu ID ví, số tiền bị mất và đường dẫn giao dịch trên Qubic. Ngoài ra, báo cáo chính thức giúp duy trì việc đóng băng tiền trên sàn giao dịch và hỗ trợ mọi quy trình thu hồi.
Điều quan trọng là không ai từ Qubic chủ động nhắn tin cho bạn trước, yêu cầu seed hoặc đề nghị dịch vụ khôi phục có tính phí. Nếu nhận được bất kỳ tin nhắn nào như vậy, hãy báo cáo ngay lập tức. Báo cáo kỹ thuật đầy đủ sẽ được công bố sau khi việc khôi phục được giải quyết.
Điểm tin thị trường tiền mã hóa
SUI chịu thêm áp lực bán khi mức giảm 4% khiến phe mua rơi vào thế phòng thủ