Qubic mở cổng nhận yêu cầu hoàn trả cho 1.404 địa chỉ bị hại, hạn chót 1/5/2027

Qubic đã mở cổng tiếp nhận yêu cầu hoàn trả cho nạn nhân sau vụ việc được cho là xuất phát từ lỗ hổng trong cách tạo seed ví. Theo số liệu tổng hợp từ cộng đồng, có 1.404 địa chỉ bị hại với khoảng 2,9396 nghìn tỷ QU bị rút khỏi các địa chỉ này. Hạn chót nộp yêu cầu là ngày 1/5/2027.

Sau sự cố, mạng Qubic dừng ở tick 85.371.949 vào ngày 18 và hoạt động trở lại vào ngày 19. Qubic cũng ra mắt một cổng cho phép tra cứu địa chỉ bị hại và gửi yêu cầu hoàn trả. Người dùng kiểm tra xem địa chỉ của mình có thuộc diện bị ảnh hưởng hay không, rồi mới nộp đơn.

Cổng chỉ tiếp nhận yêu cầu

Cổng này nêu rõ công cụ chỉ tiếp nhận yêu cầu và không trực tiếp chuyển tiền. Việc có hoàn trả hay không do nhóm Computor, đóng vai trò validator (trình xác thực), quyết định và thực thi. Yêu cầu được tiếp nhận không đồng nghĩa với việc tiền sẽ tự động được hoàn lại.

Người nộp đơn phải cung cấp địa chỉ gốc bị hại, địa chỉ đích mới, thông điệp ký bằng địa chỉ gốc và bằng chứng sở hữu. Cổng lưu ý rằng với địa chỉ tạo từ seed yếu, chữ ký thôi chưa đủ để chứng minh quyền sở hữu, nên có thể yêu cầu thêm giấy tờ như biên lai rút tiền từ sàn giao dịch.

Các yêu cầu được duyệt sẽ được công khai trong 7 ngày để mọi người phản đối. Những yêu cầu còn tranh chấp chưa giải quyết sẽ được giữ trong tài khoản ký quỹ (escrow).

Cổng không bao giờ yêu cầu nhập seed hay khóa riêng tư. Cổng cũng cảnh báo đội ngũ sẽ không chủ động nhắn tin riêng (DM) cho người dùng hay thu phí khôi phục. Người dùng cần tự kiểm tra địa chỉ cổng và tuyệt đối không nhập hay chia sẻ seed, khóa riêng tư.

Quy mô thiệt hại và nguyên nhân

Trang theo dõi của cộng đồng qubicmap.org/check tổng hợp 1.404 địa chỉ bị hại và 2.939.606.531.944 QU bị lấy đi, dựa trên các giao dịch chuyển ngày 17-18. Số liệu này dựa trên dữ liệu giao dịch on-chain. Hiện chưa có báo cáo sự cố chính thức từ phía Qubic.

Giá trị thiệt hại cũng khác nhau giữa các nguồn tin, vào khoảng 1,3-1,4 triệu USD (khoảng 17,25-18,578 tỷ won). Do không có nguồn nào dùng cùng thời điểm quy đổi và cùng mức giá, rất khó xác định một con số duy nhất.

Lịch sử chỉnh sửa mã ví công khai của Qubic cho thấy phần tạo seed dựa trên Math.random() đã bị loại bỏ và thay bằng crypto.getRandomValues(). Điều này củng cố dấu hiệu rằng cách tạo seed từng có lỗ hổng, nhưng chưa đủ để chứng minh quy mô thiệt hại hay toàn bộ đường tấn công.

Công ty an ninh blockchain SlowMist (SlowMist) trong báo cáo phân tích chỉ ra rằng ví Qubic tạo seed tài khoản bằng Math.random(), như TokenPost đã đưa tin trước đó. Báo cáo cho biết có thể khôi phục khóa riêng tư nếu quan sát mạng 6 lần. Tuy nhiên, vẫn chưa xác nhận được lỗ hổng này có phải đường tấn công trực tiếp trong vụ việc lần này hay không.

Bitcoin.com News (Bitcoin.com News) đưa tin nguyên nhân được cho là các seed dễ đoán sinh ra từ thiết bị Apple và trình duyệt đời cũ, không phải lỗi của bản thân blockchain.

Phản ứng từ cộng đồng

Một bài đăng trong cộng đồng Monero(XMR) trên Reddit có ý kiến của người dùng cho rằng lỗ hổng liên quan đến cách tạo seed bằng Math.random(), cùng các bình luận chỉ trích hoặc chế giễu việc tạm dừng mạng. Đây là phản ứng cá nhân của người dùng, không phải kết quả kiểm toán bảo mật độc lập.

Bitcoin.com News cho biết khi mạng bị dừng, phần lớn token bị lấy đi bị giữ lại trong mạng và một phần bị đóng băng trên MEXC. Việc các validator thông qua kế hoạch khôi phục và mở nền tảng yêu cầu hoàn trả đã được TokenPost đưa tin trước đó. Tình trạng của các token sau khi mạng hoạt động trở lại chưa được xác nhận.

Số vụ và tổng số tiền đã hoàn trả hiện chưa được xác nhận. Nạn nhân có thể gửi yêu cầu trên cổng đến hết ngày 1/5/2027.