Qubic mất 1,4 triệu USD, chuỗi khối hoạt động lại, hạn yêu cầu bồi hoàn đến 1/5/2027

Qubic đã cho blockchain hoạt động trở lại và bắt đầu quy trình khắc phục sau vụ rút token QU trị giá khoảng 1,4 triệu USD (khoảng 1,86 tỷ won) từ 1.404 ví. Người dùng bị ảnh hưởng có thể gửi yêu cầu bồi hoàn đến hết ngày 1 tháng 5 năm 2027.

Theo trình khám phá khối của Qubic, mạng lưới đã xử lý tick trở lại vào ngày 19, vượt qua tick số 85.371.949 từng bị dừng vào Chủ nhật 18. Các máy tính đóng vai trò xác thực (Computors) đã thông qua kế hoạch khắc phục. Qubic cũng mở nền tảng yêu cầu bồi hoàn cho chủ sở hữu ví bị ảnh hưởng. Tại đây, người dùng kiểm tra địa chỉ của mình có thuộc diện thiệt hại hay không, rồi gửi yêu cầu.

Cointelegraph đưa tin vụ việc liên quan đến các seed có thể đoán trước, được tạo ra từ phần mềm ví có lỗ hổng. Seed là giá trị khởi đầu để sinh địa chỉ ví và khóa riêng. Nếu seed đoán được, bên thứ ba có thể tái tạo đúng chiếc ví đó. Trên một số thiết bị Apple(AAPL) và trình duyệt, ví web của Qubic đã dùng bộ tạo số ngẫu nhiên không an toàn khi tạo seed, dẫn đến seed dễ đoán. Kẻ tấn công khai thác điểm yếu này để rút sạch tài khoản. Mạng lưới phải dừng hoạt động hôm 18 để ngăn số tiền bị lấy đi tiếp tục dịch chuyển.

Công ty bảo mật blockchain SlowMist chỉ ra rằng ví Qubic tạo seed tài khoản bằng hàm Math.random(), vốn không an toàn về mặt mật mã học. SlowMist cho rằng kẻ tấn công có thể khôi phục khóa riêng nếu quan sát mạng lưới 6 lần.

Về tình hình sau khi vá lỗi, The Defiant cho biết bản vá 4.26.4 tách seed của tài khoản mới khỏi luồng số ngẫu nhiên đã bị lộ, nhưng vẫn giữ nguyên cách tạo header. Qubic thông báo hôm 18 rằng lỗi tạo seed đã được sửa trong ví web mới nhất.

Ngày 20, Qubic đưa ra lại hướng dẫn cho người dùng. Qubic nêu: “Ví tạo bằng ví web trước phiên bản 4.26.4 (phát hành ngày 19) phải được coi là không an toàn, kể cả khi tiền chưa bị đụng đến.” Qubic cũng khuyến cáo: “Hãy cập nhật ví web lên 4.26.4 trở lên, tạo ví mới, chuyển tiền càng sớm càng tốt và không dùng lại ví cũ.”