Blockchain Layer-1 Qubic đã khởi động lại mạng lưới và bắt đầu quy trình khôi phục chính thức sau khi lỗ hổng trong seed ví cho phép kẻ tấn công rút lượng token QU trị giá khoảng 1,4 triệu USD từ 1.404 tài khoản, theo thông báo cập nhật mới nhất của dự án.

Theo trình khám phá mạng lưới của Qubic, hoạt động xử lý được nối lại lúc 8 giờ tối ngày 19 tháng 10 và vượt qua tick 85.371.949, mốc mà chuỗi đã bị tạm dừng trước đó vào Chủ nhật. Việc khởi động lại đánh dấu giai đoạn tiếp theo trong quá trình ứng phó—sau khi mạng lưới bị dừng để ngăn dòng tiền tiếp tục dịch chuyển.

Những điểm chính

• Qubic đã khởi động lại hoạt động của các trình xác thực sau khi thông qua kế hoạch khôi phục và tiếp tục các “tick” của mạng lưới vượt qua điểm dừng trước đó.

• Kẻ tấn công đã khai thác các seed ví có thể đoán trước, gắn với ví web của Qubic trên một số thiết bị và trình duyệt Apple.

• Một nền tảng yêu cầu bồi hoàn chuyên dụng hiện đã hoạt động để người dùng bị ảnh hưởng gửi yêu cầu khôi phục.

• Qubic cho biết bản vá ví web đã được phát hành dưới dạng phiên bản 4.26.4 vào ngày 19 tháng 10 và các ví cũ nên được xem là không an toàn.

• Có thể gửi yêu cầu bồi hoàn đến hết ngày 1 tháng 5 năm 2027.

Mạng lưới khởi động lại sau khi tạm dừng

Qubic đã tạm ngưng hoạt động mạng lưới vào Chủ nhật để hạn chế rủi ro phát sinh thêm sau khi lỗ hổng được phát hiện. Cập nhật trạng thái mới nhất của dự án cho biết các trình xác thực—được gọi là “Computors”—đã thông qua kế hoạch khôi phục và hiện đang triển khai quy trình cần thiết để khắc phục thiệt hại.

Lịch sử tick của trình khám phá blockchain cho thấy chuỗi đã dừng tại tick 85,371,949 khi quá trình xử lý ngừng lại, rồi tiếp tục hoạt động vào cuối ngày hôm đó. Mô hình “tạm dừng rồi tiếp tục” này đáng chú ý vì phản ánh một sự đánh đổi trong vận hành: việc tạm dừng thông lượng có thể làm gián đoạn hoạt động bình thường, nhưng cũng có thể giảm nguy cơ số tiền bị đánh cắp tiếp tục bị chuyển đi trước khi các công cụ khôi phục sẵn sàng.

Cách thức khai thác và vị trí của lỗ hổng

Qubic cho biết nguyên nhân gốc rễ liên quan đến các seed ví có thể đoán trước, được tạo bởi phần mềm ví có lỗ hổng. Cụ thể, sự cố ảnh hưởng đến các seed được tạo bằng ví web của Qubic trên một số thiết bị và trình duyệt Apple, nơi bộ tạo số ngẫu nhiên không an toàn có thể tạo ra các seed không đủ ngẫu nhiên.

Khả năng dự đoán này tạo điều kiện để kẻ tấn công tìm cách truy cập các ví có seed được tạo trong những điều kiện dễ bị lỗi. Do đó, dự án cho biết khoảng 1,4 triệu USD token QU đã bị rút khỏi 1.404 tài khoản.

Hôm thứ Ba, Qubic khuyến cáo người dùng xem các ví bị ảnh hưởng là không an toàn ngay cả khi số dư của họ chưa bị di chuyển. Trong bản cập nhật, nhóm cho biết nếu người dùng tạo ví bằng ví web Qubic trước phiên bản 4.26.4 (phát hành ngày 19 tháng 10), thì ví đó nên được xem là không an toàn.

Khôi phục và yêu cầu bồi hoàn: người dùng bị ảnh hưởng cần làm gì

Qubic đã triển khai quy trình yêu cầu bồi hoàn chuyên dụng dành cho những người nắm giữ tài sản bị ảnh hưởng. Dự án hướng dẫn người dùng truy cập nền tảng thu hồi để kiểm tra địa chỉ của họ và gửi yêu cầu nếu đủ điều kiện. Nền tảng có tại https://weak-seed-reclaim.qubic.org/.

Qubic cho biết có thể gửi yêu cầu bồi hoàn đến hết ngày 1 tháng 5 năm 2027. Thời hạn kéo dài này rất quan trọng vì người dùng có thời gian xác nhận địa chỉ của mình có bị ảnh hưởng hay không và hoàn tất quy trình khôi phục, thay vì phải phản hồi ngay lập tức khi thông tin chi tiết và công cụ xác định điều kiện đủ vẫn đang được hoàn thiện.

Nhóm cũng nhấn mạnh các bước cần thực hiện ngay để đảm bảo an toàn trong tương lai: cập nhật và chuyển tài sản. Qubic cho biết họ đã khắc phục lỗi tạo seed trong phiên bản mới nhất của ví web và hướng dẫn người dùng chuyển tiền sang ví mới sau khi cập nhật—đồng thời tuyệt đối không sử dụng lại ví cũ.

Bản vá ví được phát hành trong ví web 4.26.4

Qubic cho biết đã khắc phục vấn đề cốt lõi trong quá trình tạo seed ở phiên bản 4.26.4 của ví web, phát hành vào ngày 19 tháng 10. Dự án đã liên kết đến kho mã nguồn ví có chứa bản vá và nhắc lại rằng thay đổi này nhằm ngăn việc tạo ra các seed có thể đoán trước.

Trong cùng bản cập nhật, hướng dẫn của Qubic rất rõ ràng: cập nhật lên ví web 4.26.4 trở lên, tạo ví mới, chuyển tiền sang ví mới sớm nhất có thể và tránh sử dụng ví cũ. Trên thực tế, điều đó có nghĩa là yêu cầu bồi hoàn không thay thế cho việc sử dụng ví an toàn hơn—một khi seed được tạo trong điều kiện có lỗi, cách an toàn hơn là ngừng sử dụng ví đó và thiết lập lại quyền truy cập bằng bộ tạo đã được vá.

Trong thời gian tới, người dùng nên theo dõi tình trạng quy trình khôi phục trên mạng lưới Qubic và xác nhận địa chỉ của mình có đủ điều kiện hay không thông qua nền tảng thu hồi. Câu hỏi lớn còn bỏ ngỏ là kế hoạch khôi phục sẽ xử lý số dư bị ảnh hưởng toàn diện đến đâu, và kết quả yêu cầu bồi hoàn có nhất quán giữa tất cả các tài khoản bị ảnh hưởng hay không khi các trình xác thực tiếp tục triển khai quá trình khôi phục sau sự cố.

Bài viết này ban đầu được đăng với tiêu đề Qubic Khởi Động Lại Blockchain Sau Vụ Tấn Công Đánh Cắp 1,4 Triệu USD, Mở Cổng Yêu Cầu Khôi Phục trên Crypto Breaking News – nguồn tin đáng tin cậy của bạn về tin tức tiền mã hóa, Bitcoin và các cập nhật blockchain.