کیف پول Qubic پیش از نسخهٔ ۴٫۲۶٫۴ ناامن است؟ بازیابی پس از بازگشت شبکه

کیف پول ساخته‌شده با Qubic Web Wallet پیش از نسخهٔ ۴٫۲۶٫۴ را ناامن فرض کنید؛ seed تازه بسازید و دارایی را به هویت مقصد تازه منتقل کنید. QUBIC در WEEX: «Listed» — در بررسی دست‌اول ۱۹ اکتبر ۲۰۲۶ (۲۷ مهر ۱۴۰۵) صفحهٔ توکن این برچسب را نشان می‌داد و صفحهٔ معاملات لحظه‌ای (spot) قیمت زنده‌ای نداشت؛ این دو صفحه به‌تنهایی وضعیت اجرای سفارش یا واریز و برداشت را ثابت نمی‌کنند. به گزارش crypto.news در ۲۱ اکتبر ۲۰۲۶ (۲۹ مهر ۱۴۰۵)، Qubic گفته است شبکه دوباره فعال شده و Computorها با رسیدن به حد نصاب طرح بازیابی را تصویب کرده‌اند.

«seed ضعیف» یعنی چه و Qubic ریشهٔ ماجرا را کجا دید؟

seed رشته‌ای محرمانه است که مانند رمز ورود به کیف پول عمل می‌کند؛ هرکس آن را داشته باشد می‌تواند به دارایی‌های آن کیف پول دسترسی پیدا کند. مستندات Qubic، «How to Invest in Qubic» (سند بدون تاریخ انتشار؛ وضعیت صفحه در ۲۷ مهر ۱۴۰۵ (۱۹ اکتبر ۲۰۲۶)، مستندات Qubic) این رشته را ۵۵ نویسه‌ای معرفی می‌کند و هشدار می‌دهد که هرگز آن را با کسی به اشتراک نگذارید.

«ضعف تصادفی‌بودن» به فرایند ساخت همین رشتهٔ محرمانه برمی‌گردد: اگر مقادیری که برای تولید seed به کار می‌رود بیش از اندازه قابل پیش‌بینی باشد، مهاجم ممکن است بتواند seedهای احتمالی را حدس بزند یا بازسازی کند. Qubic در اطلاعیهٔ امنیتی خود در ۱۸ اکتبر ۲۰۲۶ (۲۶ مهر ۱۴۰۵) همین را ریشهٔ ماجرا دانست و گفت مشکل در مرحلهٔ تولید seed بوده است (اطلاعیهٔ امنیتی Qubic، ۱۸ اکتبر ۲۰۲۶ (۲۶ مهر ۱۴۰۵)). جزئیات فنی دقیق‌تر، مانند سازوکار عدد تصادفی، به گزارش فنی‌ای مربوط است که Qubic وعدهٔ انتشار آن را داده و هنوز منتشر نشده است.

کدام کیف پول‌ها در فهرست اعلامی Qubic قرار می‌گیرند؟

Qubic در اطلاعیهٔ امنیتی ۱۸ اکتبر ۲۰۲۶ (۲۶ مهر ۱۴۰۵) سه ترکیب ساخت seed را مشمول اعلام کرد: هر مرورگری روی iPhone یا iPad پیش از ۱۸ اکتبر ۲۰۲۶ (۲۶ مهر ۱۴۰۵)؛ Safari روی Mac پیش از همان تاریخ؛ و اپلیکیشن Qubic روی iOS پیش از جولای ۲۰۲۵ (تیر ۱۴۰۴) (اطلاعیهٔ امنیتی Qubic).

این فهرست، محدودهٔ اعلامی خود Qubic است، نه گواهی سلامت برای بقیه. اگر کیف پول شما بیرون از این سه ترکیب ساخته شده است، این به‌تنهایی «امن» بودن آن را ثابت نمی‌کند؛ و اگر تاریخ ساخت یا دستگاه و مرورگر ساخت را مطمئن نمی‌دانید، آن را حل‌نشده در نظر بگیرید، نه بی‌خطر.

بازهٔ حمله و ارقامی که Qubic منتشر کرد

طبق اعلامیهٔ امنیتی Qubic در ۱۸ اکتبر ۲۰۲۶ (۲۶ مهر ۱۴۰۵)، حمله از ساعت ۲۳:۴۲ UTC روز ۱۷ اکتبر ۲۰۲۶ (۲۵ مهر ۱۴۰۵) تا ساعت ۰۱:۲۶ UTC روز ۱۸ اکتبر ۲۰۲۶ (۲۶ مهر ۱۴۰۵) ادامه داشت و در آن نزدیک به ۱٬۴۰۴ کیف پول با مجموع تقریبی ۲٫۹۴ تریلیون QU تخلیه شد (اطلاعیهٔ امنیتی Qubic). این ارقام اعلامی خود پروژه است؛ در این متن هم مقدار بر حسب توکن QU آورده شده است.

توقف شبکه و ازسرگیری آن چه چیزی را تغییر داد؟

Qubic در اطلاعیهٔ امنیتی ۱۸ اکتبر ۲۰۲۶ (۲۶ مهر ۱۴۰۵) گفت Computorها توقف حفاظتی شبکه را در تیک ۸۵٬۳۷۱٬۹۴۹ هماهنگ کردند و هنگام انتشار اطلاعیه هیچ تراکنشی پردازش نمی‌شد؛ هدف، جلوگیری از جابه‌جایی یا فروش دارایی‌های تخلیه‌شده تا زمان بررسی بود (اطلاعیهٔ امنیتی Qubic، ۱۸ اکتبر ۲۰۲۶ (۲۶ مهر ۱۴۰۵)).

Qubic در اعلام ۲۰ اکتبر ۲۰۲۶ (۲۸ مهر ۱۴۰۵) گفت شبکه دوباره فعال شده است؛ crypto.news این گفته را در ۲۱ اکتبر ۲۰۲۶ (۲۹ مهر ۱۴۰۵) نقل می‌کند. بااین‌حال، درگاه بازیابی Qubic هنوز جملهٔ «The network is halted and the funds are frozen» را نشان می‌دهد و تاریخ به‌روزرسانی ندارد؛ این جمله با اعلام ۲۰ اکتبر ۲۰۲۶ (۲۸ مهر ۱۴۰۵) Qubic که crypto.news در ۲۱ اکتبر ۲۰۲۶ (۲۹ مهر ۱۴۰۵) نقل کرده هم‌خوان نیست (درگاه بازیابی Qubic؛ گزارش crypto.news). ازسرگیری به‌تنهایی هویت یا seed قدیمی را ایمن نمی‌کند.

هشدار تازه دربارهٔ کیف پول‌های وب قدیمی

Qubic در نسخهٔ ۴٫۲۶٫۴ مولد seed را اصلاح کرد؛ صفحهٔ انتشار رسمی Qubic Wallet تاریخ نسخه را ۱۸ اکتبر ۲۰۲۶ (۲۶ مهر ۱۴۰۵) ثبت می‌کند و از تولید رمزنگارانهٔ امن می‌گوید (یادداشت انتشار). گزارش crypto.news در ۲۱ اکتبر ۲۰۲۶ (۲۹ مهر ۱۴۰۵)، توصیهٔ Qubic را با تاریخ انتشار ۱۹ اکتبر ۲۰۲۶ (۲۷ مهر ۱۴۰۵) نقل می‌کند؛ این دو تاریخ در منابع متفاوت‌اند. طبق توصیهٔ نقل‌شده، هر کیف پول ساخته‌شده با Qubic Web Wallet پیش از ۴٫۲۶٫۴ را ناامن فرض کنید، حتی اگر دست‌نخورده باشد؛ seed تازه بسازید و دارایی باقی‌مانده را به هویت مقصد تازه منتقل کنید (گزارش crypto.news).

«قفل‌شده» یعنی «بازگردانده‌شده» نیست

در گزارش ۲۱ اکتبر ۲۰۲۶ (۲۹ مهر ۱۴۰۵)، crypto.news به نقل از اعلام Qubic در ۱۸ اکتبر گفت ۸۷٫۱٪ از دارایی‌های تخلیه‌شده روی شبکهٔ Qubic ماند و قفل شد و ۱۲٫۹٪ به MEXC رفت؛ Qubic گفت حساب گیرنده حدود یک ساعت بعد قفل شد. این درصدها گزارش خود پروژه‌اند (گزارش crypto.news).

«قفل‌شده» به‌معنای بازگشته یا در دسترس قربانیان نیست. درگاه بازیابی می‌گوید وجوه رسیده به MEXC از مسیر صرافی و جداگانه بازمی‌گردد؛ این روند کندتر است و به همکاری مراجع قانونی وابسته است (درگاه بازیابی Qubic).

در اعلام ۲۰ اکتبر ۲۰۲۶ (۲۸ مهر ۱۴۰۵)، Qubic گفت Computorها با رسیدن به حد نصاب، طرح بازیابی را تصویب کردند، شبکه دوباره فعال شد و نخستین وجوه به مالکان تأییدشده رسید. crypto.news در گزارش ۲۱ اکتبر ۲۰۲۶ (۲۹ مهر ۱۴۰۵) می‌گوید Qubic مبلغ پرداختی و تعداد درخواست‌های تأییدشده را اعلام نکرد (گزارش crypto.news؛ اعلام Qubic در X).

درخواست بازیابی چه چیزهایی می‌خواهد؟

درگاه بازیابی Qubic درخواست‌ها را از هویت آسیب‌دیده، هویت مقصد تازه، پیام امضاشده و مدرک مالکیت تشکیل می‌دهد؛ امضای seed آسیب‌دیده به‌تنهایی مالکیت را ثابت نمی‌کند. مهلت ثبت درخواست تا ۱ مه ۲۰۲۷ (۱۱ اردیبهشت ۱۴۰۶) باز است (درگاه بازیابی Qubic).

1. هویت مبدأ: شناسهٔ ۶۰ نویسه‌ای آسیب‌دیده که باید در فهرست نشانی‌های مشمول باشد.
2. هویت مقصد تازه: seed جدید در کیف پول به‌روز ۴٫۲۶٫۴ یا بالاتر و نه روی دستگاه یا مرورگر مشمول بسازید؛ seed آسیب‌دیده را دوباره به کار نبرید.
3. پیام امضاشده و مدرک مالکیت: پیام را با هویت مبدأ امضا کنید، اما seed را جایی وارد نکنید. رسید برداشت از صرافی، تأیید معاملهٔ OTC، مسیر تأمین مالی پیش از حمله یا امضای نشانی دیگری که به این هویت وجه داده، از نمونه‌های مدرک‌اند. درگاه می‌گوید امضای هویت آسیب‌دیده کافی نیست، چون مهاجم ممکن است همان امضای معتبر را بسازد.

درخواست‌ها، زمان‌بندی و جعل هویت

• seed، کلید خصوصی، رمز حساب یا کد یک‌بارمصرف را در هیچ سایت، چک‌کننده، پیام خصوصی یا فرم بازیابی وارد نکنید و با کسی به اشتراک نگذارید.
• درگاه بازیابی Qubic می‌گوید تیم هرگز پیام خصوصی آغاز نمی‌کند، seed نمی‌خواهد و هزینهٔ بازیابی نمی‌گیرد؛ خود درگاه نیز seed را درخواست نمی‌کند (درگاه بازیابی Qubic).
• مهلت ثبت درخواست ۱ مه ۲۰۲۷ (۱۱ اردیبهشت ۱۴۰۶) است؛ تأیید هویت با Didit اختیاری است و جای مدرک مالکیت را نمی‌گیرد (درگاه بازیابی Qubic).
• درگاه می‌گوید درخواست‌های تأییدشده پیش از پرداخت به‌مدت ۷ روز فهرست می‌شوند؛ فهرست فقط نشانی و مبلغ را نشان می‌دهد. درخواست‌های رقیبِ حل‌نشده در حساب امانی قفل می‌مانند (درگاه بازیابی Qubic).

درگاه می‌گوید مالکیت با شواهد بررسی می‌شود و اختلاف‌ها ممکن است روند را طولانی کنند.

سؤال‌های متداول

اگر کیف پولم بیرون از سه ترکیب اعلامی ساخته شده، پس در امنیت است؟

نه؛ یعنی کیف پول شما در فهرست اعلامی Qubic نبوده است، نه اینکه سلامت آن تأیید شده باشد. اگر تاریخ ساخت یا دستگاه و مرورگر ساخت را مطمئن نمی‌دانید، آن را حل‌نشده در نظر بگیرید.

به‌روزرسانی به ۴٫۲۶٫۴ دارایی ازدست‌رفته را برمی‌گرداند؟

نه. این نسخه مولد seed را برای ساخت‌های بعدی درست می‌کند و روی seed ساخته‌شدهٔ قبلی اثری ندارد.

مهلت درخواست بازیابی Qubic چه زمانی است؟

مهلت ثبت درخواست ۱ مه ۲۰۲۷ (۱۱ اردیبهشت ۱۴۰۶) است؛ ثبت فرم به‌تنهایی پذیرفته‌شدن یا پرداخت را تضمین نمی‌کند (درگاه بازیابی Qubic).

منتشرشده: ۲۸ مهر ۱۴۰۵ (۲۰ اکتبر ۲۰۲۶) · به‌روزرسانی: ۲۹ مهر ۱۴۰۵ (۲۱ اکتبر ۲۰۲۶) · Published by WEEX · WEEX Learn

این مطلب آموزشی است و توصیه سرمایه‌گذاری نیست.