Qubic, Zayıf Tohumların 1.400 Cüzdandan 1,4 Milyon Dolar Boşaltmasının Ardından Zinciri Duraklattı

Yüzde 87,1 Donmuş, Yüzde 12,9 MEXC'de

Qubic cüzdanlarından çalınan yaklaşık 1,4 milyon doların yüzde 87,1'i ağı asla terk etmedi: duraklatılan zincirde olduğu yerde donmuş halde duruyor. Geri kalan yüzde 12,9 ise MEXC'ye yönlendirildi; borsanın ekibi, transferler ulaştıktan sonra kabaca bir saat içinde alıcı hesabı kilitledi. Proje her iki oranı da Pazar günü X'te yaptığı açıklamada paylaştı ve iki pay toplamı, ele geçirilen tutarın tamamına ulaşıyor. Qubic, blockchain ağını 85.371.949 tick numarasında durdurdu; ağın blok kaşifi bu sabit noktayı hâlâ en son durum olarak gösteriyor ve bu yazı hazırlandığında zincir duraklatılmış vaziyette, yeniden başlatma için bir tarih verilmiş değil. Projeye göre saldırgan, zayıf tohum üretiminden yararlanarak 1.400'den fazla hesaptan yaklaşık 1,4 milyon dolar değerindeki 2,94 trilyon Qubic (QU) boşalttı. Ele geçirilen anahtarları üç üretim yolu ortaya çıkardı ve açıklama her birini tek tek isimlendirdi. iPhone veya iPad'de tarayıcı üzerinden oluşturulan her cüzdan etkilendi; bir Mac'te Safari ile 18 Ekim 2026 tarihine kadar oluşturulan cüzdanlar da aynı durumda ve Qubic'in iOS uygulaması ise Temmuz 2025 öncesinde kullanıcılarını riske attı. Her durumda seed phrase, yani bir cüzdanın tüm adreslerini türettiği ana anahtar, yetersiz rastgelelikle üretildi. Bu öngörülebilirlik, saldırganın geniş bir adres yığını için özel anahtarları tek seferde yeniden hesaplamasına imza verdi. Öngörülebilir bir tohum tek bir adresi zayıflatmaz; bir cüzdanın ondan türettiği her adresi açık edebilir. Bu üç yolun dışında oluşturulan cüzdanlar uyarının kapsamı dışında kalıyor ve projenin para akışına dair anlatımında ek bir varış noktası görünmüyor.

Math.random() v4.26.4 ile Değiştirildi

Onarım zaten işlendi. Cüzdanın 4.26.4 sürümü için yapılan GitHub güncellemesi, ekibin kriptografik gizli anahtarlar için asla tasarlanmamış olan JavaScript'in Math.random() fonksiyonunu çekip aldığını ve tohum üretimi sırasında kriptografik olarak güvenli olan crypto.getRandomValues() ile değiştirdiğini gösteriyor; değişiklik en yeni web cüzdanı sürümünde aktif. Ekip, kusuru giderdiğini söylerken bu yamalı sürüme işaret etti. Benzer bir hata modelinin emsalleri var. Temmuz ayında donanım soğuk cüzdan üreticisi Coldcard, bir bellenim hatasının tohumları zayıflattığı için açıkta kalan cüzdanlardan saldırganların fon çektiğini duyurdu. 2023'te Trust Wallet'ın tarayıcı eklentisinde ve Libbitcoin Explorer aracında da benzer entropi kusurları ortaya çıkmıştı. Yani üretim anındaki zayıf rastgelelik, çok farklı tasarımlara sahip cüzdanlarda yinelenmeye devam ediyor. Her seferinde cüzdan dışarıdan sağlıklı görünüyordu; ürettiği anahtarlar sadece tahmin edilebilir izliyordu. Toparlanma şimdi Qubic'in yönetişiminden geçiyor. Çekirdek ekip etkilenen cüzdanların listesini işliyor ve ağın zinciri doğrulayan düğüm operatörleri olan Computorlar'ın oylamasına sunulacak kurtarma seçeneklerini hazırlıyor; donmuş fonlara ne olacağına onlar karar verecek. Tam bir teknik rapor, kurtarma planı oturduktan sonra yayımlanacak. Bu olay ayrıca bir kripto cüzdanını kurtarmanın tohum sızmasından sonra neden nadiren düz bir yol olduğunu gösteriyor, çünkü üretim hatası kullanıcının gözüne hiç görünmüyor. Qubic, işlemleri ve akıllı sözleşmeleri destekleyen komisyonsuz bir katman-1 blockchain; Useful Proof of Work adlı, madencilik enerjisini yapay zekâ modelleri eğitmeye yönlendiren bir konsensus tasarımı üzerine kurulu. Tokenının piyasa değeri haberin hazırlandığı anda CoinGecko verilerine göre yaklaşık 62,6 milyon dolardaydı. Daha geniş çeyreklik tablo bağlam veriyor: AMLBot'un üçüncü çeyrek 2026 soruşturma raporu, yılın başından itibaren açılan 250 vakayı kapsıyor ve hack ile açıkların kripto suçu vakalarının yüzde 19'unu oluşturduğunu, bildirilen kayıpların ise yüzde 40'ını oluşturduğunu saptadı.

Bizim okumamız şu: belgelenmiş iki gerçek zararı sınırladı. Zincir, çalınan QU'nun çoğunluğu saldırganın kontrol ettiği ama hareket edemediği adreslerde dururken durdu; hırsızın kullandığı bilinen tek borsa çıkış kapısı bir saat içinde kapandı. Bundan sonrası kod değil, yönetişim meselesi. Computor oylaması donmuş 2,94 trilyon QU'nun nasıl iade edileceğini belirleyecek ve Qubic bir yeniden başlatma taahhüdü vermediği için 85.371.949 tick, zincirin en son kaydedilmiş durumu olmaya devam ediyor. Pazar günkü açıklama itibarıyla çalınan fonların yüzde 87,1'i Qubic'in kendi ledger'ında donmuş durumda ve kalan yüzde 12,9'u kilitlenmiş MEXC hesabında.