Mạng lưới Qubic bị tạm dừng sau khi các hạt giống ví yếu cho phép đánh cắp 2.94 nghìn tỷ QU

Những hệ quả trực tiếp trên thị trường là có giới hạn: QUBIC là token vốn hóa nhỏ, giá trị bằng đô la của khoản mất mát không lớn, và áp lực bán chỉ bó hẹp ở bản thân token chứ không lan sang thị trường tiền mã hóa rộng hơn. Vấn đề cấp bách hơn trong ngắn hạn là thanh khoản, vì mạng lưới đang bị tạm dừng và các sàn giao dịch đã ngừng nạp và rút tiền, khiến người nắm giữ token không thể chuyển tài sản của họ cho đến khi chuỗi hoạt động trở lại. Cuộc bỏ phiếu của Computor về bồi hoàn có khả năng tác động lớn hơn đến sự phục hồi của token so với bản thân vụ trộm, bởi một kết quả sạch sẽ, minh bạch có thể khôi phục niềm tin trong khi việc đóng băng kéo dài sẽ làm gia tăng bất định. Sự cố này cũng có thể thúc đẩy việc xem xét lại các phương thức tạo khóa tại các nhà cung cấp ví khác.

---

Blockchain của Qubic đã hoạt động đúng, nhưng khóa ví của nó thì không. Việc đóng băng mạng lưới đã cứu được phần lớn token bị đánh cắp, nhưng cũng cho thấy một nhóm validator nhỏ nắm giữ quyền kiểm soát ở mức độ nào đối với tiền của người dùng.

Tóm tắt:

• Kẻ tấn công đã rút sạch 1,404 ví Qubic với khoảng 2.94 nghìn tỷ QU, trị giá khoảng 1.3 triệu USD, trong chưa đầy hai giờ vào ngày 17-18 tháng 10 UTC
• Lỗ hổng đến từ tính ngẫu nhiên yếu trong quá trình tạo hạt giống ví, không phải từ giao thức Qubic, và đã được sửa trong phiên bản 4.26.4
• Các ví được tạo qua trình duyệt trên iPhone và iPad, Safari trên Mac, và các phiên bản cũ hơn của ứng dụng Qubic iOS đều bị ảnh hưởng
• Mạng lưới đã dừng tại tick 85,371,949, với khoảng 87% số tiền bị đánh cắp bị đóng băng trên chuỗi và phần còn lại bị đóng băng tại MEXC
• Các sàn giao dịch đã tạm ngừng nạp và rút QUBIC, và token đã giảm hơn 10%
• Các validator Computor của Qubic sẽ quyết định về việc thu hồi tài sản và bất kỳ khoản bồi thường nào

Theo một bài đăng của dự án, blockchain lớp 1 Qubic đã tạm dừng mạng lưới sau khi kẻ tấn công lợi dụng tính ngẫu nhiên yếu trong quá trình tạo hạt giống ví để rút sạch 1,404 ví với khoảng 2.94 nghìn tỷ token QU, trị giá khoảng 1.3 triệu USD, trong khoảng thời gian chưa đầy hai giờ vào cuối ngày 17 tháng 10 và đầu ngày 18 tháng 10 UTC.

Qubic nhấn mạnh rằng lỗ hổng nằm ở công cụ dùng để tạo hạt giống ví chứ không phải ở bản thân giao thức blockchain. Mã bị ảnh hưởng đã sử dụng một hàm tạo số ngẫu nhiên không phù hợp cho các bí mật mật mã, nghĩa là các hạt giống trông có vẻ dài và an toàn trên thực tế lại có thể đoán trước đủ để kẻ tấn công tái tạo một tập nhỏ hơn các ứng viên khả dĩ và kiểm tra xem chúng có phải là ví có tiền hay không. Các ví được tạo qua trình duyệt trên iPhone và iPad, qua Safari trên Mac đến hết ngày 18 tháng 10, và bằng các phiên bản cũ hơn của ứng dụng Qubic iOS đều dễ bị tấn công. Dự án cho biết vấn đề đã được giải quyết trong phiên bản 4.26.4.

Các validator đã dừng mạng lưới tại tick 85,371,949. Khoảng 87% token bị đánh cắp vẫn nằm trên Qubic và bị khóa bởi việc tạm dừng, trong khi khoảng 13% còn lại đã được gửi đến sàn giao dịch MEXC, nơi đã đóng băng tài khoản nhận. Các sàn giao dịch khác đã tạm ngừng nạp và rút QUBIC. Token đã giảm hơn 10% sau vụ tấn công, và vốn hóa thị trường của dự án chỉ khoảng 60 triệu USD, khiến sự cố trở nên nhỏ về giá trị bằng đô la.

---

Giải thích các thuật ngữ chính

Hạt giống ví
Một chuỗi ký tự, thường được trình bày dưới dạng danh sách các từ, dùng để tạo và khôi phục khóa riêng tư của ví tiền mã hóa. Bất kỳ ai có hạt giống đều kiểm soát được tiền, vì vậy nó phải không thể đoán được.

Tính ngẫu nhiên trong quá trình tạo hạt giống
Các hạt giống phải đến từ một nguồn thực sự không thể đoán trước. Một số hàm lập trình phổ biến chỉ trông có vẻ ngẫu nhiên và tuân theo các quy luật, cho phép kẻ tấn công thu hẹp các hạt giống khả dĩ và xác định các ví có tiền. Đó chính là điều đã xảy ra tại Qubic.

Blockchain lớp 1
Một mạng blockchain nền tảng có các quy tắc riêng và token gốc, chẳng hạn như Bitcoin hoặc Ethereum, trái ngược với một ứng dụng hoặc mạng được xây dựng trên một chuỗi khác.

Computors
Thuật ngữ của Qubic chỉ các validator: một nhóm cố định các nhà vận hành xử lý giao dịch và bỏ phiếu về các quyết định của mạng lưới, bao gồm việc có tạm dừng chuỗi hay không và điều gì xảy ra với số tiền bị đóng băng.

Tick
Đơn vị thời gian mạng của Qubic, tương tự như số khối trên các blockchain khác. Việc dừng tại một tick cụ thể đánh dấu chính xác thời điểm sau đó không còn giao dịch nào được xử lý.

---

Sự cố mang lại hai bài học cho người dùng tiền mã hóa. Thứ nhất, một blockchain an toàn không đảm bảo tiền an toàn: quyền kiểm soát phụ thuộc vào khóa riêng tư, và khóa chỉ mạnh bằng phần mềm tạo ra chúng. Các lỗ hổng tính ngẫu nhiên yếu tương tự đã ảnh hưởng đến các công cụ ví khác trong những năm gần đây. Thứ hai, một mạng lưới có thể tự tạm dừng và đóng băng số dư đi kèm với một sự đánh đổi. Việc tạm dừng đã cứu được phần lớn số tiền bị đánh cắp, nhưng nó cũng cho thấy một nhóm validator tương đối nhỏ, được gọi là Computors trên Qubic, có thể dừng các giao dịch và quyết định số phận của tài sản người dùng.

Nhóm đó hiện nắm giữ quyết định quan trọng. Người đọc nên theo dõi thời điểm và cách thức mạng lưới khởi động lại, liệu cuộc bỏ phiếu của Computor có mang lại sự bồi hoàn cho các nạn nhân hay không, liệu MEXC có trả lại phần bị đóng băng hay không, và báo cáo kỹ thuật đã hứa sẽ tiết lộ điều gì. Một sự khôi phục rõ ràng sẽ củng cố niềm tin vào quản trị của Qubic, trong khi việc tạm dừng kéo dài hoặc một cuộc bỏ phiếu gây tranh cãi sẽ đặt ra những câu hỏi khó hơn về mức độ phi tập trung thực sự của mạng lưới.