Qubic遭遇黑客攻击，价值140万美元被盗代币被冻结

Qubic这条公链被黑客攻击，一共盗走价值140万美元的代币，一千多个用户钱包遭殃。问题出在钱包生成助记词的时候，随机数不够安全，黑客可以推算出私钥。项目方紧急暂停整个区块链，大部分被盗代币留在链上无法转移，少数转到交易所的代币也被冻结。下面小编简单梳理了Qubic因钱包漏洞暂停主网的动向。

Qubic公链已暂停运行，攻击者利用钱包安全漏洞，从1400多个账户盗取约2.94万亿枚QU代币，总价值140万美元。

根据Qubic核心团队10月18日的公告，攻击者瞄准了助记词生成随机性不足的钱包，这类钱包私钥容易被破解。

“安全事件更新：在世界标准时间10月17日23:42至10月18日01:26期间，黑客洗劫了1404个Qubic钱包，共计约2.94万亿QU。以下是事件经过、已采取措施以及后续安排。”

——Qubic（@Qubic）2026年10月18日

网络在区块高度tick85,371,949处暂停，防止被盗代币继续流转。Qubic表示，网络暂停时，87.1%的被盗资金仍留在链内，剩余12.9%已转入加密交易所MEXC。项目方称，该交易所在约一小时内冻结了收款账户。

Qubic暂未公布区块链重启时间，被盗资产的追回方案有待网络节点运营商Computors表决。

Qubic钱包漏洞根源：助记词生成随机性薄弱

本次攻击利用了部分Qubic钱包生成助记词的缺陷，助记词用于推导掌控资产的私钥。助记词生成过程随机性不足，会导致私钥容易被暴力还原，攻击者无需从用户手中获取助记词，就能访问钱包。

Qubic根据创建助记词所用设备、浏览器与应用划分受影响钱包范围：2026年10月18日前，在iPhone、iPad上通过任意浏览器生成的钱包；Mac电脑Safari浏览器同期生成的助记词；2025年7月前通过QubiciOS应用生成的助记词均受漏洞影响。

项目表示问题出自钱包软件本身，底层区块链协议未遭入侵。开发团队已在网页钱包4.26.4版本修复该助记词生成漏洞。新版本将Java Script的Math.random()替换为加密安全随机函数crypto.get Random Values()。Java Script的Math.random()不适合生成私钥等加密密钥，无法提供加密层面的安全保障。

本次修复仅针对新钱包助记词的生成方式，旧版本漏洞软件生成的助记词依旧存在风险。Qubic称待资产追回方案确定后，会发布完整技术调查报告。

网络暂停冻结大部分被盗代币，多家交易所暂停充提

网络暂停后，大部分被盗代币被冻结，开发团队排查受影响钱包并拟定资产恢复提案。按项目公布数据，交易停止时，约2.56万亿QU仍留在链上；剩余3792.6亿QU已转入MEXC，项目方联系交易所后，收款账户被限制。

应项目方请求，MEXC随后暂停QUBIC代币的充提业务，在事件调查期间阻止用户转移代币。交易所XT也在10月18日暂停相关服务，公告称出于钱包升级维护，暂停QUBIC与KASPLEX网络的充提。

虽然交易所限制了转账，Qubic尚未确认被盗代币已返还给原用户。核心团队正在排查被入侵钱包，拟定资产恢复方案，交由网络节点Computors投票。Computors参与Qubic共识机制，将按照恢复提案决定如何处置冻结资金。项目暂未确定方案，包括是否回滚非法交易、通过其他渠道返还冻结代币或是单独补偿受损用户，恢复计划尚未获得批准。

历史同类事件：助记词缺陷曾造成巨额加密资产损失

本次Qubic攻击，是多起钱包助记词随机数不足引发的加密安全事件之一。2026年7月，比特币硬件钱包厂商Coldcard披露固件漏洞，攻击者可针对随机性不足的助记词钱包发起攻击。该漏洞源于2021年3月上线的固件配置，受影响设备使用可预测的软件随机数生成器，而非硬件随机源。Crypto.news此前报道，7月31日一场持续25分钟的攻击中，黑客从约500个Coldcard钱包盗取594枚BTC，价值3800万美元。漏洞导致部分钱包助记词有效熵值从标准128位降至约40位，私钥极易被暴力破解。Coldcard在8月20日发布新版固件，新增安全机制，用户生成新助记词时需要自行输入随机熵。厂商提醒，升级固件无法修复旧固件生成的助记词，受影响用户需要新建钱包并转移比特币。

早年其他钱包也曾出现同类问题：2023年8月，Libbitcoin Explorer漏洞MilkSad，导致比特币用户被盗超90万美元资产。密钥生成存在缺陷，攻击者可以预测部分钱包助记词对应的私钥，bxseed命令随机性不足，存在助记词重复生成风险。2023年4月，Trust Wallet披露浏览器扩展漏洞，影响2022年11月一段时期内创建的钱包地址，发生两起攻击，损失约17万美元，项目启动受损用户赔付流程，并建议受影响用户将资金转入新钱包。

Qubic资产恢复方案等待节点运营商审批

Qubic核心团队正在梳理本次攻击的受损账户，之后提交恢复提案交由Computors投票。该网络采用有效工作量证明（Useful Proof of Work）共识，挖矿算力用于AI计算；公链支持智能合约，交易无需传统手续费。事件发生时，CoinGecko数据显示Qubic总市值约6260万美元。

本次安全事件发生期间，黑客攻击与漏洞利用是加密资产损失的主要来源。AMLBot的2026年调查报告显示，第三季度黑客攻击类案件占加密犯罪案件总量的19%，但涉案损失金额占全部损失的40%。该调查基于今年以来启动的250起案件。

Qubic表示，待资产恢复方案敲定后发布完整技术报告，网络重启时间待定。