币圈界报道：

Qubic平台遭遇严重安全事件，超140万美元代币失窃

Layer-1区块链项目Qubic在发生大规模资金外流后宣布暂停网络运行。此次安全事件共影响超过1,400个钱包，导致约2.94万亿枚Qubic（QU）代币被非法转移，总损失金额约为140万美元。

网络中断源于异常提款行为触发警报

在检测到非授权资金提取活动后，Qubic于10月18日于区块高度85,371,949处主动停止服务。截至目前，该网络仍处于离线状态，官方尚未公布恢复上线的时间表。

项目团队确认，攻击者利用了特定钱包软件中恢复助记词生成过程中的随机性缺陷，大幅降低了私钥推算难度。此问题主要影响在关键安全补丁发布前，通过部分浏览器及Qubic iOS应用创建的钱包实例。

详细数据显示，攻击发生在UTC时间10月17日23:42至10月18日01:26之间，一名恶意实体清空了共计1,404个相关钱包，涉及约2.94万亿枚QU代币。

多数被盗资产已实施强制冻结措施

根据最新披露，约87.1%的被盗代币（即2.56万亿QU）仍保留在Qubic网络内，并被系统自动锁定以防止进一步流转。其余12.9%（约3792.6亿QU）已转入加密货币交易所MEXC。

MEXC在识别异常交易后的一小时内对相关账户采取了冻结操作。同时，另一家交易平台XT也已暂停Qubic代币的充值与提现功能，其官方表示此举亦受钱包系统升级和维护影响。

目前，项目方未公布任何关于返还被盗资产的具体方案，也未建立针对受害用户的补偿或恢复流程。

代币/平台 数量 状态
Qubic网络 2.56万亿 QU 已冻结
MEXC交易所 3792.6亿 QU 账户已冻结

漏洞根源指向钱包软件底层实现缺陷

开发团队指出，本次问题并非源自区块链协议本身，而是由Qubic钱包客户端的设计缺陷所致。在生成恢复助记词时，系统依赖的随机数生成机制存在弱熵问题，尤其在iPhone/iPad浏览器以及旧版本iOS应用中表现明显。

受影响范围还包括2026年10月18日前使用的Mac Safari浏览器用户。该漏洞已在网页钱包版本4.26.4中修复，新版本采用更安全的crypto.getRandomValues() API替代原有JavaScript的Math.random()函数，后者不具备密码学强度。

小知识：crypto.getRandomValues()是现代浏览器提供的加密级随机值生成接口，相较于Math.random()，能有效防范基于可预测性的攻击，广泛用于密钥生成和助记词构造。

历史上，类似因弱随机性引发的安全事故屡见不鲜。例如，2026年7月，攻击者利用Coldcard固件漏洞，从约500个钱包中盗取价值3800万美元的594枚比特币；此外，Trust Wallet浏览器扩展与Libbitcoin工具也曾因“Milk Sad”等漏洞导致超90万美元比特币流失。

安全专家强调，此类事件凸显了钱包软件中随机数生成环节的重要性，一旦设计不当，将对用户资产构成持续威胁。

后续处置进展与社区应对机制启动

Qubic正在全力排查所有受本次攻击波及的钱包地址。平台核心运营者（称为Computors）计划发起投票，就冻结资金的管理方式及受害者恢复路径进行决策。目前尚无正式决议出台，项目方亦未提供服务恢复的时间预期。

作为免手续费的Layer-1区块链，Qubic采用专有实用工作量证明（uPoW）机制，通过矿机资源训练人工智能模型来支持智能合约与交易处理。

据CoinGecko估算，漏洞发生时，Qubic代币市值约为6260万美元。

根据AMLBot发布的2026年第三季度报告，尽管黑客攻击案件占全部加密犯罪事件的19%，但其造成的经济损失占比高达40%，凸显高危攻击的破坏力远超事件数量。