资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
10月17日至18日夜间事件回顾与处理结果
在10月17日至18日的夜间，一名攻击者清空了1,404个Qubic钱包地址，涉及约2.94万亿QU代币。然而，社区反应迅速：Computors（验证节点）在数小时内停止了网络运行，当场冻结了被盗资金的87.1%；而MEXC交易所也在大约一小时内拦截了接收剩余资金的相关账户。十二天后，网络重新恢复运行，2,930亿QU从交易所回流至链上，首批经核实的受害者已获得赔偿。
此次漏洞并非源于协议本身，而是由于特定苹果设备上的种子密钥生成存在缺陷，且该问题也影响完好无损的钱包。简而言之，这是一起由技术实现细节引发的安全事件，而非共识层面的崩溃。
事件概要
- 时间窗口：UTC时间10月17日23:42至10月18日01:26。
- 损失规模：1,404个Qubic身份被清空，涉及约2.94万亿QU，按当日汇率计算约合140万美元。
- 根本原因：在iPhone和iPad（任何浏览器）、Mac（Safari浏览器）以及2025年7月之前的iOS应用程序中，种子密钥生成时的熵值不足。协议层和共识机制未受损害。
- 响应措施：网络在第85,371,949个刻度（tick）停止。87.1%的资金（2,560亿QU）仍冻结在攻击者控制的八个地址上；12.9%（379亿QU）转入MEXC充值地址，并在约一小时内被冻结。
- 修复进展：Web钱包版本4.26.4于10月19日发布，修复了种子生成问题。网络于10月20日在Computors法定人数验证后恢复运行。索赔门户已开放，截止日期为2027年5月1日。
- 重要警告：所有在4.26.4版本之前创建的Web钱包均被视为不安全，即使资金未被盗取也必须迁移。必须创建新的身份并将资金转移至新钱包。
事件详细经过
这是一次通过完全正常的签名转账执行的种子密钥重构攻击。根据Qubic发布的状态报告，某些特定设备和浏览器组合在创建种子密钥时熵值不足。攻击者能够重现这些种子密钥，并在不到两小时内对1,404个身份签署有效的转账交易。没有伪造交易，网络核心未受影响：漏洞位于钱包层面，即种子短语生成的地方，而非共识机制本身。
涉案金额2.94万亿QU，按10月18日的汇率（每QU约0.000000477美元，据CoinGecko数据）计算，约合140万美元。虽然单笔价值适中，但受害用户数量庞大。应对措施非常迅速：负责验证刻度的676台Computors机器协调一致，在第85,371,949个刻度停止网络。此后不再处理任何交易，攻击者控制的八个地址上剩余的87.1%资金被就地冻结。
剩余的12.9%，即379亿QU，分两笔交易发送至MEXC的单个充值地址。资金到达后约一小时，交易所冻结了接收账户，并应Qubic请求于10月18日暂停了QUBIC的存取款服务。Bitget同日也采取了类似行动，理由是“钱包维护”。Gate.io则表示在进行“彻底的技术审查”前不会恢复服务。
资金现状
大部分资金处于托管状态，部分通过MEXC的资金已返回链上。在网络暂停期间，受影响资金根据Qubic说明被置于保护性托管中。10月20日，Computors法定人数批准了恢复计划，网络重新上线。Qubic在X平台上宣布“Qubic网络再次上线”，并指出首批资金已返还给经核实的用户，但未披露具体金额。此前已组织过社区投票进行咨询，但决策权在于法定人数，符合网络规则。
后续情况可在区块浏览器上验证。UTC时间10月28日08:07，在第87,353,465个刻度，293,039,994,345 QU返回至十天前将其发送至MEXC的地址（见交易记录）。该地址当前余额为零，符合托管状态。从交易所返回的资金加入相同的索赔流程，但门户提示此途径较慢，且取决于当局的合作。如果到账时有剩余缺失，Qubic表示愿通过社区捐款来覆盖，以赔偿每位受影响的用户。
| 日期 (UTC) | 事件 | 来源 |
|---|---|---|
| 10月17日 23:42 - 10月18日 01:26 | 1,404个身份被清空，约2.94万亿QU，通过签名转账 | Qubic |
| 10月18日 约 01:52 | MEXC冻结接收12.9%资金的账户 | Qubic, MEXC |
| 10月18日 | 网络在第85,371,949个刻度停止；MEXC和Bitget暂停存取款 | Qubic, 交易所公告 |
| 10月19日 | Web钱包4.26.4发布：修复种子生成问题 | Qubic |
| 10月20日 | Computors法定人数批准恢复；网络重启；门户开放；首批资金返还 | Qubic (X) |
| 10月28日 08:07 | 2930.4亿QU从MEXC返回至冻结的原始地址 | Qubic Explorer, tick 87,353,465 |
| 10月29日 | MEXC重新开放取款，随后在下午2点开放存款 | Qubic (未经MEXC公开公告确认) |
| 2027年5月1日 | 索赔窗口关闭 | 官方门户 |
市场影响
在市场方面，QUBIC价格在10月18日至30日期间下跌了约19%，市值约为5,700万美元（据CoinGecko数据）。由于市场本身具有风险厌恶倾向，无法孤立地分析此次事件在这一跌幅中的具体占比。
如何追回QU及赔偿优先级
通过官方门户进行申请：weak-seed-reclaim.qubic.org。该工具不移动任何资金，仅收集请求；每笔付款均由法定人数决定并执行。首先使用地址检查器，无需签名或证明即可查询身份是否出现在受影响地址列表中。
申请流程分为五个步骤：
- 输入受影响的身份，并创建一个新的目标身份。新身份必须在更新后的安全钱包中使用安全的种子密钥创建，切勿复用旧身份。
- 在钱包中签署显示的消息。种子密钥永远不会被输入或发送。
- 提供所有权证明及联系邮箱地址。
- 保留追踪链接，无需创建账户。
- 可选：通过Didit进行身份验证，其仅向Qubic发送验证结果，而不传输文档。
为何需要证明？因为攻击者与所有者持有完全相同的密钥：签名无法区分任何人。门户根据证据强度对案例进行分类，最强证据包括交易所取款收据、受影响地址的所有权确认，其次是场外交易（OTC）确认及事件前的资金流向追踪；宣誓声明仅作为辅助支持。简单且无争议的案件走快速通道，有争议、证据薄弱或大额案件由核心开发人员审核。
时间表如下：
- 第一批赔偿（10月26日当周启动）：针对无可争议的案例，包括事件前已发布签名的身份、可证实的OTC交易、已知的社区项目资金。
- 后续批次：分别定于2026年12月、2027年2月和2027年4月，最后一批涵盖所有剩余的有效索赔。
每个批准的请求在付款前将公开显示（地址和金额）七天，金额来自链上冻结快照，而非申请人输入。早提交并无优势，强有力的证据才是关键。QEarn锁仓将在后续批次返还，QX订单已被取消。据Qubic称，截至10月下旬已收到超过230份申请。
未受损持有者的建议
检查种子来源并迁移以确保安全。
4.26.4版本的修复防止了新弱种子密钥的创建，但不能修复旧的。Qubic明确表示：在此版本之前创建的Web钱包必须被视为不安全，“即使你的资金从未被触碰”。这也适用于iOS应用和iOS网页钱包用户，即使不在受影响地址列表中。Android应用钱包未报告相关问题，无需更新移动应用。
门户还提到了一个“待定”列表，用于存放来自弱但未被清空的种子密钥的资金，将在验证后释放。如果你的身份出现在该列表中，程序相同：在更新后的钱包上创建新身份，然后在门户上提出申请。
一条适用于此类事件的通用规则：Qubic团队绝不会发起私信，绝不会索要种子密钥，也不收取任何恢复费用。支持通过专门的Discord频道进行，且有管理员监督；Qubic没有工单系统，以限制冒充行为。
事件反思
对此事件存在两种解读，且均有依据。第一：一个能够在验证者决定下在数小时内停止的网络，挽救了87%的资金，而在缺乏这种杠杆作用的链上，总资金可能会全部流失。我们曾描述过Computors的作用和有用的工作量证明（Proof-of-Work），这一事件展示了其运营层面的有效性。第二：这种同样的杠杆意味着676台机器可以冻结余额并改写局面，这也是链停止批评者所指出的问题。
关于原因，Qubic在恢复结束前保持技术细节保密，以避免引发模仿，并承诺发布完整报告。安全公司SlowMist于10月20日发布分析，指出钱包的种子生成器依赖于Math.random这一非加密函数，其输出在网络标头中明文传输；在其概念验证中，六个连续的值足以重构生成器状态。Qubic未确认此场景，其受影响设备列表集中于Safari和iOS，表明可能存在特定于这些平台的因素。
这也是今年发生的第二次安全事件：7月13日，Qubic的GitHub组织因访问令牌泄露而被入侵，根据次日发布的事故后分析报告，未造成资金损失。
接下来的截止日期已设定：恢复结束时发布技术报告，12月发布首批赔偿更新，Bitget和Gate.io恢复服务（截至10月30日据Qubic称仍处于暂停状态），以及2027年5月1日关闭索赔。留下的核心问题是简单的：1,404名所有者中，有多少人能提供证据证明攻击者并不拥有这些资产？
