Qubic钱包密钥可被恢复，补丁未彻底修复
TREE NEWS 报道， 安全研究团队SlowMist发现，专注于AI和分布式计算的加密货币项目Qubic的钱包密钥可从仅六个网络样本中恢复。该漏洞影响用于生成账户种子的随机流，并在4.26.4补丁中得到了部分修复。然而，该补丁仅将新账户种子与暴露的随机流分离，并未改变头部生成过程，这意味着现有账户的密钥可能仍面临风险。
此次披露引发了对Qubic钱包基础设施安全性的严重担忧，并凸显了在区块链系统中实现安全随机数生成的更广泛挑战。Qubic自称是一个基于AI的平台，利用计算机仲裁组执行有用工作，但尚未就此事件发表公开声明。
技术细节与影响
根据SlowMist的分析，该漏洞源于用于生成钱包种子的可预测随机流。通过从网络中收集仅六个样本，攻击者可能逆向工程随机流并推导出私钥。4.26.4补丁将新账户种子与该随机流隔离，但头部生成——可能仍依赖于受损的随机性——保持不变。这表明在补丁之前创建的钱包可能仍然存在漏洞。
该问题尤其令人担忧，因为它破坏了钱包密钥生成的基本安全假设：私钥是不可预测的，且无法从公开信息中推导出来。如果攻击者能够从网络样本中恢复密钥，整个钱包系统就会受到威胁。SlowMist尚未发布完整技术细节，但有限的信息表明熵源或用于生成随机性的算法存在缺陷。
行业分析与更广泛影响
这一事件严酷地提醒了加密货币系统中稳健随机数生成的重要性。许多区块链项目依赖确定性算法或弱熵源，这可能导致灾难性的密钥泄露。虽然Qubic案例特定于其钱包实现，但它与其他项目过去的漏洞相呼应，例如2013年影响比特币钱包的Android SecureRandom漏洞。
对Qubic而言，声誉损害可能非常严重。该项目一直将自己定位为AI-加密领域的重要参与者，而此类安全漏洞可能会削弱用户和投资者的信任。此外，补丁并未完全解决问题——头部生成保持不变——这引发了对开发团队回应以及他们是否完全理解根本原因的质疑。
从监管角度来看，此类事件可能引起当局的审查，尤其是在各国政府加强对加密安全监管之际。该事件还强调了独立安全审计和漏洞赏金计划的必要性，这些在加密行业仍未普遍采用。
前瞻性视角
Qubic需要提供关于该漏洞的透明解释和明确的补救计划。如果用户怀疑自己的密钥可能已泄露，应考虑将资金迁移到新生成的钱包。该项目还应进行全面的安全审计，以确保不存在其他弱点。
更广泛地说，这一事件应给加密行业敲响警钟，要求优先考虑安全的随机数生成，并采用密钥管理的最佳实践。随着钱包成为用户与去中心化应用交互的主要界面，其安全性至关重要。未能解决这些问题的项目不仅面临财务损失的风险，还可能遭受长期声誉损害。
SlowMist的披露虽然令人不安，但对安全社区来说是宝贵的贡献。它强调了持续警惕的必要性，以及研究人员需要仔细检查区块链系统中甚至看似次要的组件。最终，区块链的强度取决于其最薄弱的环节——而在这种情况下，那个环节似乎是随机数生成器。
