Qubic：秘密可预测的钱包成为事件核心

恢复秘密受到影响的事件

Qubic于2026年十月18日发布涉及1 404个钱包的事件报告。团队称，攻击者在UTC十月17日23:42至十月18日1:26之间清空钱包，总额约29400亿QU。宣布的原因，涉及部分恢复秘密生成时随机性不足。因此，不能把问题概括为共识规则改变，或攻击者能够破解全网所有钱包。

即使生成方法已知，恢复秘密也应难以猜测。如果生成过程只留下有限可能组合，攻击者就可能比预期更高效地搜索。秘密看起来很长，不足以证明稳健程度，还要考虑创建时随机性的质量。使用已泄露秘密签署的交易，仍可能被网络认可，而区块链无法知道签名来自攻击者。

团队指出的相关环境

Qubic在说明中列出：2026年十月18日之前，通过浏览器在iPhone或iPad生成的秘密；该日期之前在Mac上用Safari生成的秘密；以及2025年七月之前通过Qubic iOS应用生成的秘密。这是项目公布的范围，不能据此认定所有Apple设备都已受侵，或所有相关环境用户都实际损失资金。具体钱包评估，尤其取决于秘密如何生成。

Qubic也称，已在4.26.4版本修复生成机制。但软件修复与保护此前生成的秘密，必须区分。改变新秘密的生成机制，不会追溯性地把旧的弱秘密变强。同样，某地址仍有代币，并不能证明访问权一直由合法所有者独占。签名手段安全，与界面或浏览器显示余额，是不同问题。

遏制与返还是独立阶段

团队表示，网络运营者协调实施了保护性停机。十月18日报告称，87.1%的被盗资金仍被控制在Qubic内，其余12.9%已发往MEXC，据称接收账户在那里被冻结。这些信息描述当时公布的状况，不能转化为已赔偿、网络恢复正常，或受害者已最终取回资产的确认。

阻止转移可以为调查争取时间，但返还仍需要独立决定和操作。Qubic解释，按网络规则，解决方案由运营者法定人数决定。后续公告应说明实际采用的措施、执行情况及受影响钱包的结果。理解事件时，要保留三个独立层面：最初生成缺陷、宣布的遏制措施，以及解决程序的实际结果。