คิวบิก(Qubic) กลับมาเดินเครือข่ายหลังสูญเงิน 1.4 ล้านดอลลาร์ เปิดรับคำร้องผู้เสียหายถึง 1 พ.ค. 2027

คิวบิก(Qubic) เดินเครือข่ายบล็อกเชนอีกครั้ง และเริ่มขั้นตอนเยียวยาผู้เสียหาย หลังโทเคน QU มูลค่าราว 1.4 ล้านดอลลาร์ (ประมาณ 1,860 ล้านวอน) ถูกดึงออกจากกระเป๋าเงิน 1,404 ใบ ผู้เสียหายยื่นคำร้องได้ถึงวันที่ 1 พฤษภาคม 2027

จากข้อมูลของตัวสำรวจบล็อกเชนของคิวบิก เครือข่ายกลับมาประมวลผลทิก (tick) เมื่อวันที่ 19 และผ่านทิกหมายเลข 85,371,949 ที่หยุดไปเมื่อวันอาทิตย์ที่ 18 ไปแล้ว คอมพิวเตอร์ที่ทำหน้าที่ตรวจสอบธุรกรรม (Computors) อนุมัติแผนฟื้นฟู และคิวบิกเปิดแพลตฟอร์มรับคำร้องสำหรับเจ้าของกระเป๋าเงินที่ได้รับผลกระทบ ผู้ใช้ตรวจสอบได้ว่าแอดเดรสของตนอยู่ในกลุ่มผู้เสียหายหรือไม่ แล้วยื่นคำร้องผ่านแพลตฟอร์มนี้

คอยน์เทเลกราฟ(Cointelegraph) รายงานว่า เหตุครั้งนี้เกี่ยวข้องกับซีดที่คาดเดาได้ ซึ่งถูกสร้างจากซอฟต์แวร์กระเป๋าเงินที่มีช่องโหว่ ซีด (seed) คือค่าตั้งต้นที่ใช้สร้างแอดเดรสและกุญแจส่วนตัวของกระเป๋าเงิน หากคาดเดาได้ บุคคลที่สามก็สร้างกระเป๋าเงินใบเดียวกันขึ้นมาใหม่ได้ ในบางอุปกรณ์ของแอปเปิลและบางเบราว์เซอร์ การสร้างซีดผ่านเว็บวอลเล็ตของคิวบิกใช้ตัวสร้างเลขสุ่มที่ไม่ปลอดภัย จึงได้ซีดที่คาดเดาได้ ผู้โจมตีใช้จุดอ่อนนี้ล้างบัญชี และเครือข่ายต้องหยุดทำงานเมื่อวันที่ 18 เพื่อสกัดการโยกย้ายเงินที่ถูกขโมยเพิ่มเติม

สโลว์มิสต์(SlowMist) บริษัทความปลอดภัยบล็อกเชน ชี้ว่ากระเป๋าเงินของคิวบิกสร้างซีดบัญชีด้วยฟังก์ชัน Math.random() ซึ่งไม่ปลอดภัยในเชิงการเข้ารหัส สโลว์มิสต์ยังระบุว่า หากผู้โจมตีสังเกตเครือข่ายราว 6 ครั้ง ก็อาจกู้กุญแจส่วนตัวได้

ส่วนสถานการณ์หลังออกแพตช์ เดอะ ดีไฟแอนท์(The Defiant) รายงานว่า แพตช์ 4.26.4 แยกซีดของบัญชีใหม่ออกจากสตรีมเลขสุ่มที่ถูกเปิดเผย แต่ยังคงวิธีสร้างเฮดเดอร์ไว้เช่นเดิม คิวบิกแจ้งเมื่อวันที่ 18 ว่าแก้ข้อบกพร่องการสร้างซีดในเว็บวอลเล็ตเวอร์ชันล่าสุดแล้ว

เมื่อวันที่ 20 คิวบิกออกแนวทางสำหรับผู้ใช้อีกครั้ง โดยระบุว่า "กระเป๋าเงินที่สร้างด้วยเว็บวอลเล็ตก่อนเวอร์ชัน 4.26.4 (เผยแพร่วันที่ 19) ต้องถือว่าไม่ปลอดภัย แม้เงินในกระเป๋าจะยังไม่ถูกแตะต้อง" พร้อมแนะนำว่า "ให้อัปเดตเว็บวอลเล็ตเป็นเวอร์ชัน 4.26.4 ขึ้นไป สร้างกระเป๋าเงินใหม่ ย้ายเงินโดยเร็วที่สุด และอย่ากลับไปใช้กระเป๋าเงินเดิมอีก"