币圈界报道：

Qubic链上安全危机应对与资金返还进展

10月17日至18日夜间，Qubic网络遭遇大规模攻击，一名恶意行为者利用特定设备上的种子密钥生成缺陷，对1,404个钱包执行有效转账操作，导致约2.94万亿QU被转移。事件发生后，社区反应迅速：负责共识验证的676台Computors节点在数小时内集体暂停网络运行，成功冻结了87.1%的被盗资金；同时，MEXC交易所亦在一小时内锁定接收账户，阻止剩余资金流入。

事件时间线与核心数据披露

攻击窗口集中在UTC时间10月17日23:42至10月18日01:26之间，共影响1,404个身份，总损失金额约为2.94万亿QU，按当日汇率折合约140万美元。根本原因被确认为部分苹果设备（包括iPhone、iPad及Mac上的Safari浏览器）和2025年7月前发布的iOS应用中，种子密钥生成依赖非加密函数Math.random，导致熵值不足。该问题未波及协议层或共识机制本身，属于钱包实现层面的技术缺陷。

技术攻击路径与防御机制解析

此次攻击并非通过伪造交易或破坏共识达成，而是利用可重现的弱种子密钥，以合法签名完成身份重构。攻击者在不到两小时内批量签署并执行转账，表明其具备高度自动化能力。关键防御机制在于Computors节点组成的法定人数系统——在第85,371,949个刻度主动停止网络运行，使攻击者控制的八个地址中超过八成资金处于不可动用状态。

剩余12.9%（约379亿QU）分两笔转入MEXC充值地址，交易所随后在约一小时后实施账户冻结，并于同日暂停QUBIC存取款服务。Bitget与Gate.io亦相继采取类似措施，分别以“钱包维护”和“技术审查”为由暂停相关功能。

资金返还路径与当前状态

10月20日，在经过Computors法定人数验证后，网络正式恢复上线。此前被托管的资金开始逐步返还。根据区块浏览器记录，UTC时间10月28日08:07，2930.4亿QU从MEXC返回至原冻结地址，该地址余额归零，符合预期托管状态。

所有受影响资金均纳入统一索赔流程，申请平台weak-seed-reclaim.qubic.org已开放，截止日期为2027年5月1日。资金返还依据证据强度分级处理，最快批次已于10月26日启动，涵盖无争议案例，如已有公开签名的身份、可核实的场外交易等。后续三批将分别安排于2026年12月、2027年2月和4月完成。

市场波动与长期影响评估

受事件冲击，QUBIC价格在10月18日至30日期间下跌约19%，市值降至约5700万美元（据CoinGecko）。尽管市场整体存在风险规避情绪，但此次事件对跌幅的影响程度尚难精确剥离，反映出投资者对去中心化网络应急机制的信任度变化。

受害者追偿流程与证据要求

用户需通过官方门户提交申请，不涉及资金直接转移。流程包括：使用地址检查器查询身份是否在受影响列表中；创建新安全身份并签署消息（无需上传种子）；提供所有权证明与联系邮箱；保留追踪链接；可选进行Didit身份验证以增强可信度。

由于攻击者与合法所有者拥有相同密钥，签名无法作为唯一凭证。因此，证据等级决定处理优先级：最强证据包括交易所取款凭证、地址归属确认；其次为场外交易记录与资金流向分析；宣誓声明仅作辅助支持。简单且无争议案件走快速通道，复杂或大额案件由核心开发团队人工审核。

未受损持有者的安全建议

即使未遭受损失，所有在Web钱包4.26.4版本前创建的钱包均被视为高危，必须立即迁移。该版本已修复种子生成漏洞，但无法逆转旧密钥风险。iOS用户（含网页端）尤其需注意，而Android应用未受影响，无需更新。

此外，系统还设立“待定”名单，用于存放虽生成弱种子但未被清空的资金。若身份出现在该列表中，同样需在新版钱包创建新身份后提交申请，等待验证释放。

Qubic团队强调：绝不会通过私信索要种子，不收取任何恢复费用，所有支持仅通过指定Discord频道进行，且有管理员监督，杜绝冒充行为。

事件复盘与行业启示

此事件引发两种视角讨论：一方面，验证节点在数小时内终止网络的能力挽救了逾2560亿QU，凸显工作量证明机制在紧急情况下的有效性；另一方面，676台机器联合冻结余额的能力也引发对“链停止”模式集中控制权的质疑。

安全公司SlowMist事后分析指出，攻击可能源于种子生成器依赖明文传输的Math.random输出，其六个连续值即可重构状态。尽管Qubic未完全确认该细节，但其受影响设备范围集中于Safari与iOS平台，暗示平台特异性因素存在。

这是今年第二起重大安全事件，此前7月13日GitHub组织因访问令牌泄露遭入侵，所幸未造成资金损失。未来关键节点包括：技术完整报告发布、首批赔偿进度更新（12月）、交易所服务恢复（截至10月30日仍暂停），以及2027年5月1日索赔关闭。