Qubic bị mất 1,3 triệu USD trong vụ tấn công ví tiền điện tử trước khi mạng lưới ngừng hoạt động

Lỗ hổng bảo mật trên Qubic khiến 1.404 ví bị rút cạn trong khi mạng lưới đóng băng vụ trộm trị giá 1,3 triệu USD

Một tên trộm tiền điện tử đã thành công trong việc rút cạn 1.404 ví Qubic trong vòng chưa đầy hai giờ, đánh cắp khoảng 2,94 nghìn tỷ QU trị giá 1,3 triệu USD mà không cần hack vào chính blockchain. Thay vào đó, kẻ tấn công dường như đã khai thác một lỗ hổng đơn giản hơn nhiều: các khóa khôi phục ví có thể dự đoán được do phần mềm cũ tạo ra. Vào thời điểm các trình xác thực của Qubic can thiệp vào sáng Chủ nhật, ngày 18 tháng 10, phần lớn số tiền bị đánh cắp vẫn còn trên mạng, trong khi một sàn giao dịch đã đóng băng một phần khác, khiến vụ trộm kỹ thuật số phi thường này thực tế bị kẹt tại chỗ.

Các mã khôi phục ví dễ đoán đã mở ra cơ hội

Qubic báo cáo rằng các giao dịch chuyển tiền trái phép đã diễn ra trong khoảng thời gian từ 23:42 UTC thứ Bảy đến 01:26 UTC Chủ nhật. Computors, các trình xác thực của mạng lưới, sau đó đã tạm dừng các giao dịch tại tick 85.371.949. Lỗ hổng bảo mật liên quan đến việc thiếu tính ngẫu nhiên khi tạo các mã hạt giống ví gồm 55 ký tự. Thay vì phải đoán một số lượng khổng lồ các tổ hợp khả dĩ, kẻ tấn công dường như đã tái tạo một tập hợp nhỏ các mã hạt giống có thể dự đoán được và xác định các ví đang nắm giữ tiền.

Các ví bị ảnh hưởng bao gồm những ví có khóa khởi tạo được tạo trên iPhone và iPad thông qua trình duyệt, máy Mac chạy Safari, cũng như các phiên bản cũ của ứng dụng iOS của Qubic. Các nhà phát triển cho biết vấn đề này đã được khắc phục trong phiên bản 4.26.4. Họ cũng đã bảo vệ thêm các khoản tiền dễ bị tấn công trước khi kẻ tấn công tiếp cận được chúng. Đồng tiền gốc của Qubic đã giảm hơn 10% vào lúc 10 giờ sáng theo giờ miền Đông vào sáng Chủ nhật.

Hầu hết các token bị đánh cắp vẫn bị đóng băng

Hậu quả của vụ tấn công đã gây ra một rắc rối bất ngờ cho kẻ trộm. Khoảng 87,1% số QU bị đánh cắp vẫn còn trên Qubic, bị đóng băng do mạng bị đình chỉ. 12,9% còn lại được cho là đã đến sàn giao dịch tiền điện tử MEXC, nơi đã đóng băng tài khoản nhận. Các khoản đặt cược QEARN được cho là không bị ảnh hưởng. Bitget sau đó đã tạm ngừng các giao dịch nạp và rút QUBIC để bảo trì. Việc các nạn nhân có được bồi thường hay không hiện phụ thuộc vào quyết định của nhóm Computor của Qubic.

Một mạng lưới với lịch sử gây tranh cãi

Qubic được thành lập bởi Sergey Ivancheglo, còn được biết đến với biệt danh "Come-from-Beyond", một nhà phát triển blockchain thế hệ đầu tiên có liên quan đến NXT và IOTA. Dự án này đã gây ra tranh cãi vào năm 2025 sau khi tuyên bố kiểm soát phần lớn hashrate khai thác của Monero, tiếp theo là các cuộc tái tổ chức blockchain khiến cộng đồng tiền điện tử chú trọng quyền riêng tư lo ngại.

Lần này, Qubic không thách thức tính bảo mật của một mạng lưới khác. Họ đang đối mặt với một lỗ hổng trong phần mềm ví của chính mình, với hàng tỷ token bị đóng băng và các nạn nhân đang chờ đợi quyết định về việc bồi thường.