Qubic يجمّد سلسلته بعد أن استنزفت البذور الضعيفة 1.4 مليون دولار من 1,400 محفظة

87.1% مجمّدة و12.9% في MEXC

لم تغادر نحو 87.1% من الأموال المسروقة من محافظ Qubic، والبالغ نحو قيمتها 1.4 مليون دولار، الشبكة أصلًا؛ فهي تبقى مجمّدة في أماكنها على السلسلة المتوقفة. أما الـ12.9% المتبقية فقد حُوّلت إلى منصة MEXC، التي جمّد فريقها الحساب المستلِم خلال ساعة تقريبًا من وصول التحويلات. كشف المشروع الرقمين في بيانه المنشور يوم الأحد على منصة X، وجمع النسبتين يساوي كامل المبلغ المسروق. أوقفت Qubic سلسلة الكتل الخاصة بها عند التكة 85,371,949، وهي نقطة ثابتة ما زال مستكشف الكتل في الشبكة يعرضها على أنها آخر حالة معروفة، وحتى لحظة كتابة هذا التقرير ظل السلسلة موقوفة دون تحديد تاريخ لإعادة التشغيل. ووفق بيان المشروع، استغل مهاجم ضعف توليد البذور لسحب 2.94 تريليون من عملة QU، بقيمة تقارب 1.4 مليون دولار، من أكثر من 1,400 حساب. جاءت المفاتيح المخترقة من ثلاثة مسارات توليد، وسمّى البيان كلًا منها: أي محفظة أنشئت في متصفح على جهاز iPhone أو iPad تأثرت، وكذلك المحفظة المنشأة في متصفح Safari على جهاز Mac حتى 18 أكتوبر 2026، كما كشف تطبيق Qubic لنظام iOS مستخدميه قبل يوليو 2025. وفي كل حالة، بُنيت عبارة الاسترجاع، وهي المفتاح الرئيسي الذي تُشتق منه المحفظة جميع عناوينها، من عشوائية غير كافية. أتاحت هذه القابلية للتنبؤ للمهاجم إعادة حساب المفاتيح الخاصة لدفعة كبيرة من العناوين دفعة واحدة. والبذرة المتوقعة لا تُضعف عنوانًا واحدًا فحسب؛ بل قد تكشف كل عنوان تشتقه المحفظة عنها. المحافظ التي أُنشئت خارج تلك المسارات الثلاثة تقع خارج نطاق التحذير، ولا تظهر أي وجهات إضافية في رواية المشروع لمسار الأموال.

استبدال Math.random() في الإصدار 4.26.4

الإصلاح مُنفّذ بالفعل. يُظهر تحديث منشور على GitHub للإصدار 4.26.4 من المحفظة أن الفريق أزال دالة Math.random() في JavaScript، وهي دالة غير مخصصة أصلًا لأسرار التشفير، واستبدلها بالدالة الآمنة تشفيريًا crypto.getRandomValues() عند إنشاء البذور؛ والتعديل متاح الآن في أحدث إصدار من محفظة الويب. وأشار الفريق إلى هذا الإصدار المحدّث حين أعلن أنه أصلح الثغرة. ولنمط هذا الفشل سوابق مبكرة. ففي يوليو، كشف مصنع المحافظ الباردة المادية Coldcard أن مهاجمين سحبوا أموالًا من محافظ بقيت مكشوفة بعد أن أضعفت ثغرة في البرنامج الثابت بذورها. وظهرت عيوب مماثلة في العشوائية عام 2023 في إضافة متصفح Trust Wallet، وكذلك في أداة Libbitcoin Explorer. أي أن ضعف العشوائية لحظة التوليد يكرر نفسه عبر محافظ تختلف تصميماتها اختلافًا كبيرًا. وفي كل حالة بدت المحفظة سليمة الظاهر؛ غير أن المفاتيح التي أنتجتها كانت قابلة للتخمين ببساطة. أما الاسترداد فيمر الآن عبر حوكمة Qubic. فالفريق الأساسي يراجع قائمة المحافظ المتأثرة ويجهّز خيارات الاسترداد لإحالاتها إلى تصويت شبكة الحوسبين Computors، وهم مشغلو العقد المسؤولون عن التحقق من السلسلة، وسيقررون مصير الأموال المجمّدة. وسيتلو ذلك تقرير تقني كامل بعد الاتفاق على خطة استرداد. وتُظهر الحادثة أيضًا سبب صعوبة استعادة محفظة عملات رقمية بعد اختراق بذرتها في الغالب، إذ يظل عيب التوليد غير مرئي للمستخدم. وتُعد Qubic ذاتها سلسلة كتل من الطبقة الأولى بلا رسوم تدعم المعاملات والعقود الذكية، مبنية على إثبات العمل المفيد، وهو تصميم إجماع يعيد توجيه طاقة التعدين إلى تدريب نماذج الذكاء الاصطناعي. وبلغت القيمة السوقية لعملتها نحو 62.6 مليون دولار وقت إعداد التقرير، بحسب بيانات CoinGecko. ويضيف المشهد الأوسع لهذا الربع سياقًا: فقد توصل تقرير تحقيقات AMLBot للربع الثالث من عام 2026، الذي غطى 250 حالة فُتحت منذ مطلع العام، إلى أن الاختراقات والاستغلالات شكّلت 19% من حالات الجريمة الرقمية، لكنها استحوذت على 40% من الخسائر المبلّغ عنها.

قراءتنا للمشهد: أوقف وقائعان موثّقان حجم الضرر. توقفت السلسلة بينما كان معظم عملة QU المسروقة ما يزال في عناوين يتحكم فيها المهاجم لكنه لا يستطيع تحريكها، وقد أُغلق منفّذ الصرف الوحيد المعروف عبر منصة خلال الساعة نفسها. وما يأتي بعد الآن شأنُ حوكمة لا شأنُ برمجة. فتصويت الحوسبين سيحدد كيفية إعادة الـ2.94 تريليون من عملة QU المجمّدة، ولم تلتزم Qubic بتاريخ لإعادة تشغيل الشبكة، لتبقى التكة 85,371,949 آخر حالة للسلسلة. وحتى بيان يوم الأحد، كانت 87.1% من الأموال المسروقة مجمّدة على سجل Qubic نفسه، و12.9% المتبقية في حساب MEXC المجمّد.