حمله به بلاکچین کیوبیک؛ سرقت ۱.۴ میلیون دلاری از ۱۴۰۰ کیف پول

بلاکچین کیوبیک Qubic پس از حمله‌ای که به سرقت حدود ۱.۴ میلیون دلار دارایی دیجیتال از بیش از ۱۴۰۰ کیف پول منجر شد، فعالیت خود را متوقف کرد. مهاجم با سوءاستفاده از ضعف در تولید عبارت‌های بازیابی کیف پول‌ها توانست حدود ۲.۹۴ تریلیون توکن QUBIT (QU) را سرقت کند. اکنون ۸۷.۱ درصد دارایی‌های سرقت‌شده همچنان در شبکه Qubic مسدود هستند و بخش باقی‌مانده نیز در صرافی MEXC فریز شده است.

حمله به بیش از ۱۴۰۰ کیف پول

شبکه لایه یک Qubic روز یکشنبه پس از شناسایی حمله‌ای امنیتی که به سرقت موجودی بیش از ۱۴۰۰ حساب منجر شد، فعالیت خود را متوقف کرد.

این پروژه در اطلاعیه‌ای در شبکه اجتماعی ایکس اعلام کرد که شبکه در ارتفاع بلاک ۸۵٬۳۷۱٬۹۴۹ متوقف شده و تا زمان نگارش این مطلب همچنان در وضعیت توقف قرار دارد.

در این رابطه بخوانید‌ : ارز دیجیتال چیست؟ و چه تفاوت هایی با ارزهای فیات دارد؟

بر اساس توضیحات Qubic، این آسیب‌پذیری به شیوه تولید عبارت‌های بازیابی یا Seed کیف پول مربوط می‌شد و گروهی از کیف پول‌های ساخته‌شده با ابزارهای مشخص را تحت تأثیر قرار داده بود. این موارد شامل کیف پول‌هایی می‌شدند که با استفاده از مرورگرهای مختلف روی آیفون یا آیپد، مرورگر سافاری در مک تا پیش از ۱۸ اکتبر ۲۰۲۶، یا اپلیکیشن iOS کوبیک پیش از ژوئیه ۲۰۲۵ ایجاد شده بودند.

مهاجم با سوءاستفاده از این ضعف توانست حدود ۲.۹۴ تریلیون توکن QU را منتقل کند؛ رقمی که ارزش کل سرقت را به حدود ۱.۴ میلیون دلار می‌رساند.

سرنوشت دارایی‌های سرقت‌شده

طبق اعلام Qubic، بیشتر دارایی‌های سرقت‌شده هنوز از شبکه خارج نشده‌اند و امکان بررسی و تصمیم‌گیری درباره آن‌ها وجود دارد.

وضعیت دارایی‌ها بر اساس گزارش این پروژه به شرح زیر است:

۸۷.۱ درصد: دارایی‌هایی که همچنان در شبکه Qubic باقی مانده و مسدود شده‌اند.
۱۲.۹ درصد: دارایی‌هایی که به صرافی ارز دیجیتال MEXC منتقل شده‌اند و حساب دریافت‌کننده آن‌ها مسدود شده است.

کیوبیک اعلام کرد تیم MEXC حدود یک ساعت پس از انتقال دارایی‌ها، حساب دریافت‌کننده را فریز کرده است.

این اقدام می‌تواند شانس بازیابی بخشی از وجوه را افزایش دهد؛ بااین‌حال، مسدودشدن دارایی‌ها لزوماً به معنای بازگشت قطعی آن‌ها به صاحبان اصلی نیست. نتیجه نهایی به تصمیم‌های امنیتی و حاکمیتی شبکه و روند بازیابی دارایی‌ها بستگی دارد.

علت حمله چه بود؟

بر اساس اطلاعات منتشرشده، مشکل اصلی به تولید ضعیف و غیرقابل‌پیش‌بینی Seed کیف پول‌ها مربوط می‌شد. عبارت بازیابی یا Seed مجموعه‌ای از داده‌های محرمانه است که برای ایجاد و بازیابی کیف پول استفاده می‌شود. اگر این داده‌ها با روش‌های ناامن تولید شوند، مهاجم ممکن است بتواند آن‌ها را حدس بزند یا گزینه‌های محتمل را بررسی کند و در نهایت به دارایی‌های کیف پول دسترسی پیدا کند.

کیوبیک اعلام کرده است که این نقص را در جدیدترین نسخه کیف پول تحت وب خود برطرف کرده است.

بررسی تغییرات کد نسخه ۴.۲۶.۴ در گیت‌هاب نشان می‌دهد که توسعه‌دهندگان، تابع Math.random() در جاوااسکریپت را که برای تولید داده‌های محرمانه رمزنگاری مناسب نیست، با تابع crypto.getRandomValues() جایگزین کرده‌اند.

تابع دوم برای تولید داده‌های تصادفی با امنیت رمزنگاری طراحی شده و می‌تواند پیش‌بینی‌پذیری Seed را کاهش دهد.

همچنین بخوانید : آیا کسب سود منجر به کاهش سرعت پذیرش ارزهای دیجیتال می شود؟

بااین‌حال، اصلاح نرم‌افزار به‌تنهایی به معنای ایمن‌شدن خودکار تمام کیف پول‌های آسیب‌دیده نیست. کاربران باید نسخه‌های اصلاح‌شده را به کار بگیرند و در صورت اعلام رسمی پروژه، دستورالعمل‌های مربوط به انتقال دارایی یا بازیابی کیف پول را دنبال کنند.

کیوبیک چگونه دارایی‌ها را بازیابی می‌کند؟

تیم اصلی Qubic اعلام کرده که در حال شناسایی کیف پول‌های آسیب‌دیده و آماده‌سازی گزینه‌های بازیابی است.

قرار است طرح پیشنهادی برای تعیین سرنوشت دارایی‌های مسدودشده به رأی اعضای موسوم به Computors در شبکه ارائه شود. این رأی‌گیری مشخص خواهد کرد که وجوه باقی‌مانده چگونه مدیریت شوند.

کیوبیک همچنین اعلام کرده که پس از نهایی‌شدن طرح بازیابی، گزارش فنی کاملی درباره این حادثه منتشر خواهد کرد.

بااین‌حال، این پروژه هنوز زمان مشخصی برای راه‌اندازی مجدد شبکه اعلام نکرده است.

حملات ناشی از ضعف امنیت کیف پول‌ها

در ژوئیه ۲۰۲۶، شرکت Coldcard از سرقت دارایی‌هایی خبر داد که کیف پول‌های آن‌ها به دلیل یک باگ در میان‌افزار، Seedهای ضعیفی تولید کرده بودند. پیش از آن نیز در سال ۲۰۲۳، آسیب‌پذیری‌های مشابهی در افزونه مرورگر Trust Wallet و ابزار Libbitcoin Explorer گزارش شده بود.

این حوادث نشان می‌دهند که امنیت یک کیف پول فقط به قدرت رمزنگاری بلاکچین وابسته نیست. نرم‌افزار تولید کلید، روش نگهداری اطلاعات محرمانه و فرایند بازیابی کیف پول نیز نقش مهمی در حفاظت از دارایی‌ها دارند.

ترجمه شده توسط مجله خبری نیپوتو