Blockchain Qubic đã tự tạm dừng vào ngày 18 tháng 10 sau khi kẻ tấn công rút sạch tài sản từ 1.404 ví, với tổng số khoảng 2,94 nghìn tỷ QU, trị giá ước tính từ 1,3 triệu đến 1,4 triệu USD tùy theo nguồn.
Qubic cho biết nguyên nhân là các seed ví yếu, dễ đoán được tạo trên thiết bị Apple, chứ không phải lỗi trong giao thức mạng. Lệnh tạm dừng khẩn cấp đã ngăn phần lớn số tiền bị đánh cắp di chuyển, còn MEXC đóng băng phần tiền được chuyển đến nền tảng này.
Chuyện gì đã xảy ra
Theo tuyên bố chính thức của Qubic trên X, kẻ tấn công đã rút tiền khỏi các ví trong khoảng thời gian từ 23:42 UTC ngày 17 tháng 10 đến 01:26 UTC ngày 18 tháng 10, kéo dài khoảng 104 phút. Các trình xác thực của mạng, được gọi là Computors, đã phối hợp tạm dừng mạng để bảo vệ tài sản tại tick 85,371,949. Khi không có giao dịch nào được xử lý, số tiền bị rút không thể di chuyển hoặc bán trong lúc nhóm tìm cách giải quyết.
Qubic cho biết 87,1% số token bị rút (khoảng 2,56 nghìn tỷ QU) chưa bao giờ rời khỏi mạng lưới và vẫn bị đóng băng tại chỗ. 12,9% còn lại (khoảng 379 tỷ QU) được chuyển đến MEXC; đội ngũ sàn đã đóng băng tài khoản nhận trong vòng khoảng một giờ. Các sàn giao dịch được thông báo và đã đình chỉ nạp, rút QUBIC. MEXC cho biết việc tạm dừng là theo yêu cầu của đội ngũ dự án, còn Bitget đình chỉ nạp, rút với lý do bảo trì ví.
Nguyên nhân: Không đủ tính ngẫu nhiên
Qubic cho biết một số seed ví được tạo ra với tính ngẫu nhiên không đủ, khiến chúng yếu hơn mức cần thiết; kẻ tấn công đã khai thác điểm yếu này để truy cập vào các ví. Seed là bí mật dùng để tạo ra khóa của ví, vì vậy nếu có thể đoán được seed thì cũng có thể đoán được các khóa. Dự án nhấn mạnh vấn đề nằm ở khâu tạo seed, chứ không phải trong chính giao thức Qubic.
Seed bị ảnh hưởng nếu được tạo: – trên iPhone hoặc iPad, bằng bất kỳ trình duyệt nào, trước ngày 18 tháng 10 năm 2026 – trên máy Mac dùng Safari, trước ngày 18 tháng 10 năm 2026 – trong ứng dụng Qubic dành cho iOS, trước tháng 7 năm 2025
Đội ngũ đã sửa lỗi tạo seed trong phiên bản 4.26.4, phát hành ngày 18 tháng 10, nên không thể tạo thêm seed yếu mới. Bản sửa lỗi không làm tăng độ an toàn của những seed đã tồn tại, vì vậy các ví được tạo trong những môi trường bị ảnh hưởng vẫn có nguy cơ cho đến khi tiền được chuyển sang ví tạo bằng phần mềm đã sửa lỗi.
Điều gì sẽ xảy ra với số tiền bị đóng băng
Qubic cho biết mọi phương án giải quyết đều do nhóm túc số Computor quyết định theo quy tắc riêng của mạng lưới. Đội ngũ nòng cốt đang xác định tất cả các danh tính bị ảnh hưởng và chuẩn bị các phương án để nhóm túc số xem xét; một cuộc thăm dò ý kiến cộng đồng cũng đang diễn ra trên Discord để các Computor nắm được quan điểm của người dùng. Qubic được thiết kế với 676 Computor và các quyết định của mạng lưới cần sự đồng thuận của đa số áp đảo, nên kết quả sẽ đến từ cuộc bỏ phiếu của các trình xác thực, chứ không phải quyết định của riêng một công ty.
Người dùng bị ảnh hưởng nên làm gì
Qubic khuyến cáo bất kỳ ai bị mất tiền hãy gửi báo cáo cho cảnh sát hoặc cơ quan phòng chống tội phạm mạng tại quốc gia của mình, kèm theo ID ví, số tiền bị mất và đường dẫn giao dịch từ explorer.qubic.org. Báo cáo chính thức giúp các sàn giao dịch tiếp tục đóng băng số tiền.
Các nhà phân tích cũng cảnh báo người dùng cần đề phòng những vụ lừa đảo mang danh “dịch vụ khôi phục”. Qubic cho biết họ sẽ không bao giờ chủ động nhắn tin cho người dùng, yêu cầu seed hoặc tính phí khôi phục. Theo khuyến nghị chung, bất kỳ ai đã tạo ví Qubic trong những môi trường bị ảnh hưởng nên xem seed đó là đã bị lộ và chuyển tiền sang ví mới được tạo bằng phần mềm đã cập nhật ngay khi mạng lưới hoạt động trở lại.
Qubic là ai
Qubic tự mô tả là một mạng lưới phi tập trung kết hợp blockchain với tính toán AI. Dự án do Sergey Ivancheglo, còn được biết đến với tên Come-from-Beyond, sáng lập; ông cũng là đồng sáng lập IOTA và NXT. Cơ chế “bằng chứng công việc hữu ích” hướng sức mạnh khai thác vào việc huấn luyện mạng nơ-ron, còn các giao dịch chuyển tiền thông thường không mất phí.
Một kiểu lỗi quen thuộc
Cuộc tấn công này thuộc cùng loại với sự cố ví phần cứng Coldcard hồi đầu năm, khi các cụm từ seed có thể đoán được cho phép kẻ tấn công tái tạo khóa riêng tư ngoại tuyến. Trong cả hai trường hợp, mật mã không bị phá vỡ. Tính ngẫu nhiên vốn phải bảo vệ seed đã không có. Tính bảo mật của việc tự lưu ký phụ thuộc vào niềm tin rằng phần mềm ví tạo ra seed thực sự ngẫu nhiên, điều mà người dùng gần như không có cách nào tự kiểm tra.
Toàn cảnh: Các vụ tấn công trong năm 2026
Khoản thiệt hại của Qubic là nhỏ nếu so với mặt bằng năm 2026, nhưng năm nay vẫn đầy khắc nghiệt:
– CertiK thống kê khoảng 656 đến 658 sự cố bảo mật và thiệt hại khoảng 2,68 tỷ USD tính đến hết tháng 9; khoảng 420,4 triệu USD đã được đóng băng hoặc hoàn trả, đưa tổng thiệt hại sau điều chỉnh xuống khoảng 2,26 tỷ USD. Các đơn vị theo dõi đưa ra số liệu khác nhau: Finbold ước tính tổng từ đầu năm đến nay gần 2,1 tỷ USD. – TRM Labs ghi nhận 972 triệu USD thiệt hại trong 207 vụ tấn công ở nửa đầu năm, còn CertiK thống kê 1,26 tỷ USD trong 247 sự cố ở quý III. – Tháng 9 là tháng tồi tệ nhất, với 55 vụ tấn công lớn và 766,5 triệu USD bị đánh cắp theo thống kê của PeckShield. Các vụ lớn nhất gồm vụ tấn công sàn Bitget (387,5 triệu USD), Liquid Network (khoảng 320 triệu USD, phần lớn đã được hoàn trả), KelpDAO (khoảng 292 triệu USD) và Drift (khoảng 285 triệu USD). – Theo Elliptic, số tiền bị đánh cắp có liên quan đến Triều Tiên đã vượt 1 tỷ USD trong năm nay. Bitcoin tăng 40% trong quý III dù số vụ tấn công tăng, cho thấy các vấn đề bảo mật vẫn tiếp diễn song song với đà tăng của thị trường.
Tiếp theo là gì
Mạng lưới vẫn đang tạm dừng. Những diễn biến quan trọng cần theo dõi là cuộc bỏ phiếu của các Computor về số tiền bị đóng băng, ngày khởi động lại và việc các sàn giao dịch có nối lại hoạt động nạp, rút QUBIC hay không. Người dùng có seed được tạo trên thiết bị Apple nên chuẩn bị chuyển ví ngay khi có thể thực hiện an toàn.