حمله سایبری به شبکه کوبیک (Qubic) به سرقت حدود ۱.۴ میلیون دلار دارایی دیجیتال از بیش از ۱۴۰۰ کیف پول منجر شد. پس از شناسایی این حادثه، تیم توسعه پروژه فعالیت بلاکچین را متوقف کرد تا ضمن بررسی ابعاد حمله، کیف پول های آسیب دیده را شناسایی و راهکار بازگرداندن دارایی ها را بررسی کند. با وجود مسدود شدن بخش عمده دارایی های سرقت شده، هنوز زمان ازسرگیری فعالیت شبکه و نحوه نهایی بازگرداندن وجوه مشخص نشده است.
سرنوشت دارایی های سرقت شده از شبکه کوبیک چیست؟
براساس گزارش کوین تلگراف، مهاجم حدود ۲.۹۴ تریلیون توکن QU به ارزش تقریبی ۱.۴ میلیون دلار را از بیش از ۱۴۰۰ حساب خارج کرده است. تیم کوبیک اعلام کرده که حدود ۸۷.۱ درصد از دارایی های سرقت شده همچنان در شبکه باقی مانده و مسدود شده است.
حدود ۱۲.۹ درصد دیگر به صرافی ارز دیجیتال MEXC انتقال پیدا کرد. این صرافی نیز تقریبا یک ساعت پس از انتقال، حساب دریافت کننده را مسدود کرد. با این حال، مسدود شدن دارایی ها به معنای بازگشت قطعی آنها به صاحبان اصلی نیست و تعیین تکلیف نهایی وجوه به تصمیم های بعدی پروژه بستگی دارد.
تیم کوبیک در حال شناسایی کیف پول های آسیب دیده و تدوین طرح بازیابی دارایی هاست. قرار است اعتبارسنج های شبکه که با عنوان Computors شناخته می شوند، درباره این طرح و نحوه تعیین تکلیف دارایی های مسدود شده رای گیری کنند. تا زمان انتشار گزارش، برنامه زمانی مشخصی برای بازگشایی شبکه اعلام نشده بود.
علت هک شبکه Qubic چه بود؟
طبق گزارش منتشرشده، ریشه این حمله به ضعف امنیتی در روش تولید عبارت بازیابی برخی کیف پول های کوبیک مربوط می شود. این مشکل کیف پول هایی را تحت تاثیر قرار داده است که عبارت بازیابی آنها با مرورگرهای آیفون و آیپد، مرورگر سافاری در مک تا ۱۸ اکتبر ۲۰۲۶ یا نسخه های اپلیکیشن iOS کوبیک پیش از ژوئیه ۲۰۲۵ ساخته شده بودند.
عبارت بازیابی مجموعه ای از کلمات است که برای دسترسی و بازیابی کیف پول ارز دیجیتال استفاده می شود. اگر این عبارت با روش های ناامن تولید شود، امکان پیش بینی آن افزایش می یابد و مهاجم ممکن است بتواند بدون اجازه صاحب کیف پول به دارایی ها دسترسی پیدا کند.
کوبیک چگونه نقص امنیتی را برطرف کرده است؟
تیم توسعه کوبیک در نسخه جدید کیف پول تحت وب، روش تولید داده های تصادفی را تغییر داده است. در این نسخه، تابع()Math.random با تابع ()crypto.getRandomValues جایگزین شده است.
تابع ()Math.random برای تولید اعداد تصادفی در کاربردهای عمومی طراحی شده و برای تولید اطلاعات محرمانه رمزنگاری امنیت کافی ندارد. در مقابل، ()crypto.getRandomValues از سازوکار تولید اعداد تصادفی امن تر مرورگر استفاده می کند و برای کاربردهای رمزنگاری مناسب تر است.
تیم کوبیک اعلام کرده که نقص مربوط به تولید عبارت بازیابی را در نسخه جدید برطرف کرده و پس از نهایی شدن برنامه بازیابی دارایی ها، گزارش فنی کامل حادثه را منتشر خواهد کرد.