Qubic, Tohum Üretimi Saldırısında Boşaltılan 1.404 Cüzdan İçin Geri Kazanım Portalı Açtı

1.404 Adres İçin Başvuru Portalı Açtı

Qubic, Ekim'deki tohum üretimi saldırısında (seed-generation hack) cüzdanı boşaltılan kullanıcılar için geri kazanım portalını açtı. Etkilenen kullanıcıların başvurularını 1 Mayıs 2027'ye kadar yapması gerekiyor. Takip sayfası qubicmap.org/check, 17 ve 18 Ekim transferlerinde etkilenen 1.404 adresi ve yaklaşık 2.939.606.531.944 QU'nun elinden alındığını sayıyor; bu tablo şirket tahmini değil, zincir üstü hareketlerden (on-chain) derlenmiş bir sayım. Bugüne kadar dolaşıma giren dolar çevirileri ise yaklaşık 1,3 milyon dolar ile 1,4 milyon dolar arasında değişiyor. Farkın kaynağı farklı çevirim zamanları ve farklı fiyat bazları; resmi bir olay raporu henüz doğrulanmış tek bir rakam yayınlamış değil.

Portalın kendisi yalnızca başvuruları kayda alıyor, hiçbir fonu hareket ettirmiyor. Ağın mutabakat organı olan Computor quorum'u her geri ödemeyi karara bağlıyor ve yürütüyor; yani yapılan başvuru otomatik bir geri ödeme anlamına gelmiyor. Başvuranların bozulan kaynak kimliğini, yeni üretilmiş bir hedef kimliğini, kaynak kimlikle imzalanmış bir mesajı ve sahiplik kanıtı niteliğinde destekleyici belgeleri sunması zorunlu. İmzalar tek başına anlaşmazlıkları çözmeye yetmiyor: saldırgan bozulan tohumu yeniden üretebilirse aynı geçerli imzayı da üretebilir. Bu yüzden ekip, başvuru sahibinden borsa çekim makbuzları, özel işlem kayıtları ya da açık biçimde kontrol ettiği başka bir cüzdandan gelen fon izi isteyebiliyor. Onaylanan başvurular yedi gün boyunca itirazlara açık biçimde yayınlanıyor; itiraz konusu yapılan başvurular ise anlaşmazlık çözülene kadar emanet hesabında bekletiliyor. Qubic portalın açılışını 20 Ekim Salı günü X'te yayınladığı bir geri kazanım güncellemesiyle duyurdu ve doğrulanan sahiplere ilk geri ödemelerin ulaştığını söyledi; ancak ne kadar ödeme yapıldığını ya da kaç başvurunun onaylandığını açıklamadı. Ekip, hiçbir koşulda tohum ya da özel anahtar istemediklerini, hiçbir zaman ilk mesajı kendileri göndermediklerini ve geri kazanım için ücret almadıklarını ekliyor; kullanıcılardan başvurmadan önce portal adresini kendilerinin doğrulaması isteniyor.

@_Qubic_ · X gönderisi

Geri kazanım güncellemesiyle.

X'te görüntüle

85.371.949 Tick'inde Duruş ve 4.26.4 Yaması

Ağ, 18 Ekim Pazar günü tick 85.371.949'da işlem yapmayı durdurdu ve geri kazanım önerisi quorum oylamasına sunulurken operatörler transferleri dondurdu; zincir, 19 Ekim'de işlemeye yeniden başladı. Qubic'in daha önce yayınladığı güvenlik güncellemesi 17 Ekim'in sonu ile 18 Ekim'in başını kapsıyordu ve çalınan tokenlerin yüzde 87,1'inin duruş yürürlüğe girdiğinde hâlâ ağ üzerinde olduğunu tahmin ediyordu; kalan yüzde 12,9 ise MEXC borsasına ulaşmıştı. Proje, borsanın alıcı hesabı kabaca bir saat içinde dondurduğunu belirtiyor. Kapanış süresince etkilenen fonlar geri ödeme öncesi korumalı emanet havuzunda tutuldu. Zafiyetin kaynağı katman 1 blok zincir protokolü'nde değil cüzdan yazılımında yatıyor: yetersiz rastgele tohum üretimi, bazı kurtarma ifadelerini tahmin edilebilir kılmıştı. GitHub'da halka açık olarak yayınlanan cüzdan kodu değişiklikleri, Math.random() yerine crypto.getRandomValues() kullanımına geçtiğini gösteriyor; yamanın tam olarak nereye indiği buradan okunabiliyor. Bir güvenlik analizi, eski şemada ağdan alınan altı gözlemin anahtarları yeniden yapılandırabileceğini savundu; ne analiz firması ne de Qubic bu yolu gerçek saldırı vektörü olarak doğrulamış değil. Öte yandan basına yansıyan değerlendirmeler, zincirdeki bir kusurdan ziyade, Safari çalıştıran eski iPhone, iPad ve Mac cihazlarında tarayıcıda üretilen tahmin edilebilir tohumlara işaret ediyordu. Qubic'in şu anki talimatı net: 19 Ekim'de yayınlanan 4.26.4 sürümünden önce oluşturulmuş her web cüzdanı, bakiyesi hiç dokunulmamış olsa bile güvensiz sayılmalı. Uygulamayı güncellemek eski bir kimlik bilgisini onarmıyor; kullanıcıların yeni bir kurtarma ifadesi, yani HD cüzdan'ın ana kimlik bilgisini üretmesi ve kalan fonlarını bu yeni adrese taşıması gerekiyor. Olaya ilişkin tam teknik rapor hâlâ bekleniyor.

Artık İmza Tek Başına Sahipliği Kanıtlamıyor

Bu tasarımın çarpıcı yanı, Qubic'in bu saldırı sınıfının acı sonucunu kabul etmiş olması: saldırgan tohumu yeniden üretebildiğinde imza hiçbir şeyin kanıtı olmaktan çıkıyor; bu yüzden portal kriptografi yerine işlem geçmişine ve insan denetimine yaslanıyor. Bu tercihler hızdan çok isabeti öne alıyor; yedi günlük kamuya açık pencere ve itirazlı başvuruların emanette bekletilmesi, mükerrer ya da sahte başvuruları süzmeye yaramalı. Boşluklar ise nicel: geri ödenen miktar da başvuru sayısı da yayınlanmadı ve söz verilen tam teknik rapor henüz gelmedi; bu durumda yüzde 87,1'lik zincir üstü pay ile MEXC dondurması, çalınan QU'nun nerede olduğunun en net haritası olarak kalıyor. Donanım cüzdanları tohum üretimini farklı işliyor: Ledger kurtarma anahtarı cihaz üzerinde üretiliyor, Tangem mobil cüzdanı ise süreci tarayıcının tamamen dışında tutuyor. Eski bakiyelerini taşıyan kullanıcılar, Mayıs 2027 son tarihinden önce adım adım kripto cüzdanını nasıl kurtarır rehberini izleyebiliyor.