Qubic, Tohum Üretimi Saldırısında Boşaltılan 1.404 Cüzdan İçin Geri Kazanım Portalı Açtı

Güncelleme 22:29 UTC: Geri ödeme takvimi netleşti: ağın Computor onay organları 20 Ekim'de bir geri ödeme planını kabul etti ve kimliği doğrulanan mağdurlar fonlarını almaya başladı. İşlemler ise 85.371.949 numaralı tikte ilan edilen duruşun ardından 19 Ekim akşamı zaten yeniden başlamıştı.

Hasara Uğrayan 1.404 Adres için Talep Portalı Açıldı

Qubic, Ekim ayındaki anahtar üretimi (seed-generation) olayında cüzdanları boşaltılan kullanıcılar için bir geri kazandırma portalı açtı; etkilenen kullanıcılar başvurularını 1 Mayıs 2027'ye kadar yapabiliyor. Topluluğun takip sayfası qubicmap.org/check, 17 ve 18 Ekim'deki transferlerle çekilen yaklaşık 2.939.606.531.944 QU ile 1.404 etkilenen adresi sayıyor. Bu hesap şirketin tahminine değil, doğrudan zincir üstü (on-chain) hareketlere dayanıyor. Bu güne kadar dolaşıma giren dolar karşılıkları ise yaklaşık 1,3 milyon dolar ile 1,4 milyon dolar arasında; fark, dönüşümün yapıldığı saat ve kullanılan fiyat temelinin değişmesinden kaynaklanıyor. Henüz resmi bir olay raporu tek bir doğrulanmış rakam açıklamış değil.

Portalın kendisi yalnızca başvuru kaydediyor, hiçbir fonu hareket ettirmiyor. Her geri dönüşüne ağın fikir birliği organı olan Computor yeterlisi karar veriyor ve uygulamaya geçiriyor; yani başvuru dosyalamak otomatik bir geri ödeme anlamına gelmiyor. Başvuranlardan ele geçirilmiş kaynak kimliği, yeni üretilmiş hedef kimliği, kaynak kimlikle imzalanmış bir mesaj ve sahipliği destekleyen kanıtlar isteniyor. İmzalar tek başına uyuşmazlıkları çözmüyor: ele geçirilmiş bir tohumu yeniden üretebilen bir saldırgan aynı geçerli imzayı da üretebiliyor. Bu yüzden platform, borsa çekim makbuzları, özel işlem kayıtları veya başvuranın kontrol ettiği kanıtlanabilir başka bir cüzdandan gelen fon izi talep edebiliyor. Onaylanan başvurular itirazlara yedi gün boyunca açık biçimde yayımlanırken, uyuşmazlığa düşen dosyalar anlaşmazlık çözülene kadar emanette (escrow) bekletiliyor. Qubic açılışı, 20 Ekim'de X üzerinden yayımlanan bir kurtarma güncellemesiyle duyurdu ve ilk geri ödemelerin doğrulanmış sahiplere ulaştığını söyledi; ne kadar ödendiği ya da kaç başvurunun onaylandığı açıklanmadı. Ekip ayrıca hiçbir zaman tohum ya da özel anahtar istemediğini, asla ilk mesajı kendisi göndermediğini ve kurtarma ücreti almadığını tekrarlıyor; kullanıcılardan başvurmadan önce portal adresini kendilerinin doğrulamasını istiyor.

@_Qubic_ · X gönderisi

X'te kurtarma güncellemesi.

X'te görüntüle

Tik 85.371.949'daki Duruş ve 4.26.4 Yaması

Zincir, 18 Ekim'de 85.371.949 numaralı tikte durdu ve kurtarma önerisi yeterli oylamasına sunulurken operatörler transferleri dondurduğu için 19 Ekim'de işlemeye yeniden başladı. Qubic'in daha önce yayımladığı güvenlik güncellemesi, 17 Ekim gecesinden 18 Ekim sabahına uzanan ve çalınan tokenların yüzde 87,1'inin duruş yürürlüğe girdiğinde hâlâ ağ üzerinde olduğunu tahmin ediyordu; kalan yüzde 12,9 ise MEXC borsasına ulaşmıştı. Proje, borsanın alıcı hesabı kabaca bir saat içinde dondurduğunu söylüyor. Kapatma süresince etkilenen fonlar, geri ödemeye hazırlık için korumalı emanette bekletildi. Kök neden cüzdan yazılımında, katman 1 blokzincir protokolünün kendisinde değil: yetersiz rastgele anahtar üretimi bazı kurtarma ifadelerini öngörülebilir hale getirdi ve GitHub'daki açık cüzdan kodu değişiklikleri Math.random() yerine crypto.getRandomValues() kullanımına geçilerek sorunun tam olarak nerede düzeltildiğini gösteriyor. SlowMist'in bir analizi, eski şemada ağa ait altı gözlemin anahtarları yeniden yapılandırmaya yetebileceğini savundu; ne analitik şirket ne de Qubic bu yolu gerçek saldırı vektörü olarak doğrulamış durumda değil. Diğer değerlendirmeler ise sorunu zincire değil, Safari kullanan eski iPhone, iPad ve Mac tarayıcılarında üretilen öngörülebilir tohumlara işaret etti. Qubic'in güncel talimatı açık: 19 Ekim'de yayımlanan 4.26.4 sürümünden önce oluşturulan her web cüzdanı, bakiyesine dokunulmamış olsa bile güvensiz kabul edilmeli.

Uygulama güncellemek eski bir kimlik bilgilerini onarmıyor; kullanıcıların HD cüzdanın ana kimlik bilgisi olan yeni bir kurtarma ifadesi (recovery phrase) üretmesi ve kalan tüm varlıkları yeni adrese taşıması gerekiyor. Olaya dair tam teknik rapor henüz bekliyor. Bu arada geri ödeme takvimi netleşti: ağın Computor'ları 20 Ekim'de geri ödeme planını onayladı, doğrulanan mağdurlar fon almaya başladı ve işlemler duruşun ardından 19 Ekim akşamı zaten yeniden başlamıştı. Yeni açıklama, 1.404 cüzdanı boşaltan transferlerin iki saatten kısa sürdüğünü de belirterek olayın kendisine bir zaman çerçevesi ekledi. Açıkta kalan sorulardan biri, donmuş MEXC hesabında tutulan yüzde 12,9'luk QU dilimi; Qubic'e göre bu bölümün iadesi, borsanın iş birliğine ve olası kolluk sürecine bağlı. Proje, meşru kurtarma yardımının asla tohum ifadesi ya da ücret istemediğini yineliyor.

İmzalar Artık Sahipliği Tek Başına Kanıtlamıyor

Tasarımda dikkat çeken nokta, Qubic'in bu açık sınıfının sert sonucunu kabul etmiş olması: bir saldırgan tohumu yeniden üretebildiğinde imza hiçbir şeyin kanıtı olmaktan çıkıyor. Bu yüzden portal, kriptografiden çok işlem geçmişine ve insan denetimine yaslanıyor. Bu tercih doğruluğu hıza yeğliyor; yedi günlük kamuya açık bekleme süresi ile itirazlı dosyaların emanette tutulması, mükerrer veya sahte başvuruları elemeli. Eksikler niceliksel boyutta: ne iade edilen tutar ne de başvuru sayısı yayımlandı, söz verilen tam teknik rapor da henüz gelmedi. Bu durumda zincir üstündeki yüzde 87,1'lik pay ve MEXC dondurması, çalınan QU'nun nerede olduğuna dair en net harita olmayı sürdürüyor. Donanım cüzdanları tohum üretimini bambaşka biçimde ele alıyor: Ledger kurtarma anahtarı doğrudan cihaz üzerinde üretilirken Tangem mobil cüzdan süreci tarayıcıdan tamamen çıkarıyor. Eski bakiyelerini taşıyan kullanıcılar, Mayıs 2027 son tarihinden önce kripto cüzdanı nasıl kurtarılır rehberini adım adım izleyebilir.