Qubic khôi phục chuỗi khối, nạn nhân đòi bồi thường 1,3 triệu USD QU

Qubic Khôi Phục Hoạt Động Sau Khi 1.404 Ví Bị Rút Sạch

Qubic đã khởi động lại blockchain sau sự cố bảo mật ngày 18 tháng 10, trong đó khoảng 2,94 nghìn tỷ token QU đã bị đánh cắp trong vòng chưa đầy hai giờ. Các validator của mạng lưới, được gọi là Computors, đã tạm dừng giao dịch tại tick 85.371.949 để ngăn chặn tổn thất thêm.

Đến tối ngày 19 tháng 10, blockchain đã hoạt động trở lại để xử lý các giao dịch. Vào ngày 20 tháng 10, Qubic thông báo rằng các trình xác thực của họ đã phê duyệt kế hoạch phục hồi, mở cổng thông tin yêu cầu bồi thường và bắt đầu chuyển tiền cho các nạn nhân đã được xác minh.

Cuộc tấn công này không liên quan đến việc phá vỡ blockchain của Qubic. Thay vào đó, kẻ trộm đã khai thác các mã khôi phục ví yếu, tức là các chuỗi ký tự bí mật cho phép chủ sở hữu truy cập vào tiền điện tử của họ.

Một lỗ hổng phần mềm của Apple khiến các ví tiền điện tử bị lộ

Vấn đề tập trung vào cách một số ví tạo ra các chuỗi ký tự khôi phục bí mật đó. Các phiên bản cũ của phần mềm ví Qubic sử dụng bộ tạo số ngẫu nhiên không đủ an toàn để bảo vệ tiền điện tử.

Lỗ hổng này ảnh hưởng đến các ví được tạo thông qua trình duyệt trên iPhone và iPad, Safari trên máy Mac, cũng như các phiên bản cũ của ứng dụng iOS của Qubic. Kẻ tấn công có thể tái tạo các chuỗi khôi phục có thể dự đoán được và truy cập vào ví mà không cần biết mật khẩu của chủ sở hữu. Qubic cho biết họ đã khắc phục vấn đề này trong phiên bản ví 4.26.4, được phát hành vào khoảng ngày 19 tháng 10, bằng cách thay thế bộ tạo số ngẫu nhiên yếu kém bằng một phương pháp an toàn hơn.

Tuy nhiên, việc cập nhật phần mềm không khắc phục được mã khôi phục cũ. Bất kỳ ai đã tạo ví bằng phần mềm bị ảnh hưởng đều phải tạo một ví hoàn toàn mới và chuyển tiền của mình sang đó. Chỉ cần mở ví cũ trên một thiết bị khác sẽ không đảm bảo an toàn.

Tiền bị đánh cắp bị đóng băng khi Qubic mở chương trình yêu cầu bồi thường

Kế hoạch tẩu thoát của kẻ trộm đã gặp trở ngại khi Qubic ngừng hoạt động mạng lưới. Khoảng 87,1% số token bị đánh cắp vẫn bị kẹt trên blockchain, trong khi sàn giao dịch tiền điện tử MEXC đã đóng băng một tài khoản nắm giữ 12,9% còn lại. Sau đó, Qubic đã chuyển số tiền trên chuỗi bị ảnh hưởng vào tài khoản ký quỹ được bảo vệ, cho phép các validator bắt đầu trả lại tiền điện tử cho các chủ sở hữu đã được xác minh.

Đội ngũ cho biết các nạn nhân có thể nộp đơn yêu cầu bồi thường qua cổng thông tin phục hồi chính thức của Qubic cho đến ngày 1 tháng 5 năm 2027. Người nộp đơn phải cung cấp thông tin ví bị ảnh hưởng, một ví đích mới được tạo, thông điệp xác nhận quyền sở hữu đã ký và bằng chứng hỗ trợ. Các yêu cầu được chấp thuận sẽ trải qua giai đoạn khiếu nại kéo dài bảy ngày trước khi được thanh toán. Việc thu hồi số tiền được giữ tại MEXC phụ thuộc vào sàn giao dịch và các thủ tục pháp lý liên quan.

Qubic cũng đã cảnh báo người dùng rằng các dịch vụ hỗ trợ khôi phục hợp pháp tuyệt đối không bao giờ yêu cầu cung cấp cụm từ khôi phục ví (seed) hoặc thanh toán phí. Mạng blockchain đã hoạt động trở lại, nhưng sự cố này để lại một câu hỏi đáng lo ngại cho các chủ sở hữu tiền điện tử. Một blockchain không bị xâm phạm có ý nghĩa gì khi phần mềm bảo vệ ví của nó lại có thể trao chìa khóa cho kẻ tấn công?