Serangan Qubic: Kegagalan Seed Randomness & Risiko Infrastruktur Web3 di Malaysia

1404 Dompet Qubic Dicuri, Kerugian USD1.3 Juta: Kegagalan 'Ketidakpastian' di Lapisan Infrastruktur Web3

Apa yang paling layak dikaji hari ini bukanlah Bitcoin menyentuh USD82,000, bukan juga kebarangkalian kenaikan kadar faedah oleh Federal Reserve yang turun ke 15.5%, tetapi insiden Qubic antara pukul 23:42 hingga 01:26 UTC pada 18–19 Oktober — dalam tempoh hanya 94 minit, sebanyak 1404 dompet pengguna dibuka secara beramai-ramai akibat ketidakcukupan ketidakpastian (entropy) dalam penjanaan seed, dan 2.94 trilion token QU dipindahkan keluar. Nilai kerugian pada masa itu setara dengan kira-kira USD1.3 juta. Ini bukan kelemahan pada tahap protokol, tetapi lebih berbahaya daripada kebanyakan kelemahan kontrak pintar: ia tidak bergantung pada cacat kod, melainkan menyerang titik asal kepercayaan kriptografi itu sendiri.

Insiden Ini: Pembedahan Presisi terhadap 'Ketidakpastian'

Pengumuman rasmi Qubic menegaskan dua perkara: pertama, serangan berlaku antara pukul 23:42 hingga 01:26 UTC pada 18–19 Oktober; kedua, masalahnya terletak pada mekanisme penjanaan seed untuk sebahagian dompet — bukan pada protokol Qubic itu sendiri. Pengumuman menyatakan: “Seed yang terjejas mencakupi tiga kategori: 202……” (butiran kategori tidak dinyatakan sepenuhnya dalam bahan sumber, maka tidak dikembangkan). Insiden yang sama disahkan secara silang dalam dua laporan kilat: [23:33] dan [23:06], kedua-duanya mengesahkan jumlah token QU yang dicuri (2.94 trilion), bilangan dompet terjejas (1404), anggaran kerugian (USD1.3 juta), serta penghentian sementara rangkaian. Ini bukan laporan palsu, tetapi tindak balas waktu nyata yang boleh disahkan di rantai blok — semua token QU yang dicuri dialihkan ke satu set alamat yang sama, dan hash transaksi telah diterbitkan secara awam di peninjau blok.

Latar Belakang: Seed Bukan 'Kata Laluan', Tapi 'Sijil Kelahiran'

Kunci peribadi dompet pengguna Web3 diturunkan daripada frasa mnemonic (iaitu seed), dan keselamatan seed bergantung sepenuhnya kepada nilai entropinya (kekuatan ketidakpastian). Fakta yang diiktiraf industri ialah: frasa mnemonic yang sah mesti dijana menggunakan CSPRNG (penjana nombor palsu berketerjamin kriptografi) dengan entropi sekurang-kurangnya 128 bit. Sebagai sebuah rantai blok awam baharu yang menekankan 'pengiraan zero-knowledge + konsensus teragih', alat dompet Qubic sepatutnya mengikuti pelaksanaan standard BIP-39. Namun, insiden ini menunjukkan bahawa sebahagian klien menggunakan sumber rawak bukan berketerjamin kriptografi (seperti cap waktu sistem atau pemboleh ubah persekitaran berentropi rendah) semasa menjana seed — menyebabkan seed boleh dijangka melalui serangan brute-force atau inferens corak. Ini bukan kes tunggal: pada 2023, dompet Phantom pernah terjejas akibat kecacatan takungan entropi sistem iOS; pada 2024, versi mudah alih MetaMask juga didedahkan mempunyai entropi tidak mencukupi pada beberapa model Android. Keunikan Qubic terletak pada fakta bahawa ia menyerahkan proses penjanaan seed kepada SDK sisi hadapan, tanpa memaksakan pengesahan keteguhan sumber entropi.

Mengapa Ini Berlaku? Rantai Sebab dan Akibat Tiga Tingkat

Tingkat pertama: Hutang teknikal — keutamaan SDK mengatasi audit keselamatan. Pada fasa awal ekosistem Qubic, fokus utama diletakkan pada pengoptimuman litar ZK dan pembangunan jambatan rentas-rantai; SDK dompet dikategorikan sebagai 'kelengkapan infrastruktur', dan ujian keselamatannya tidak dimasukkan dalam lingkup audit utama. Bahan sumber tidak menyebut pihak auditor, tetapi perbandingan dengan serangan terhadap jambatan rentas-rantai Cysic ([18:57]) — yang segera mengumumkan 'akses tidak sah ke pangkalan data' — menunjukkan logik tindak balas Qubic lebih cenderung kepada tambalan lapisan aplikasi berbanding penulisan semula lapisan asas.

Tingkat kedua: Ketidakselarasan logik produk — pengalaman ringan mengorbankan jaminan entropi. Qubic menawarkan 'penciptaan dompet satu klik'; dokumentasi SDK-nya menggalakkan pembangun memanggil fungsi generateMnemonic() tanpa mewajibkan pengikatan ke sumber entropi keras (hardware entropy source). Apabila pengguna menginisialisasi dompet pada peranti berentropi rendah (seperti tablet Android lama atau terminal tertanam tanpa kamera/mikrofon), sumber rawak lalai sistem mungkin hanya memberikan entropi 40–60 bit — dan percubaan brute-force sebanyak 2.94 trilion kali boleh diselesaikan dalam masa kurang daripada satu jam menggunakan kluster GPU moden.

Tingkat ketiga: Inersia ekosistem — kekurangan pendidikan pengguna memperbesar risiko. Kash Razzaghi, Pegawai Urusan Perniagaan Circle, mengakui dalam [23:39] bahawa model keuntungan 'saham stabilcoin pertama' sangat nipis (hanya USD0.07 daripada setiap USD1.00 yang dihasilkan), mencerminkan ketidakseimbangan harga 'kos keselamatan' di seluruh bidang infrastruktur Web3. Apabila pengguna terbiasa dengan dompet percuma dan pembangun mengejar integrasi pantas, penjanaan seed — kos yang 'tidak kelihatan' — menjadi elemen pertama yang dikurangkan.

Tindak Balas Pasaran & Impak: Retak Struktural di Tengah Gelombang Likuidasi

Insiden ini tidak menyebabkan fluktuasi besar pada BTC atau ETH (BTC -0.53% dalam 24 jam, ETH -2.22% dalam 24 jam), tetapi memperdalam diskon kepercayaan terhadap projek infrastruktur bersaiz kecil-hingga-sederhana. Data CoinGlass menunjukkan bahawa jumlah likuidasi seluruh pasaran dalam 24 jam terakhir ialah USD359 juta, dengan 78.3% daripadanya merupakan posisi long ([23:31]), menunjukkan modal berleverage sedang berpindah secara aktif dari aset ber-Beta tinggi. Sektor 'infrastruktur ZK' tempat Qubic berada tidak disenaraikan secara berasingan dalam senarai turun, tetapi ZEC jatuh 7.09% dalam sehari (senarai turun 24 jam teratas) dan NEAR turun 5.00%, membuktikan modal sedang keluar dari projek yang memerlukan naratif teknikal berterusan.

Dari sudut bull dan bear: Logik bear jelas — insiden Qubic mengesahkan kebimbangan bahawa 'tahap keselamatan infrastruktur lebih rendah daripada lapisan aplikasi', yang akan menekan premium penilaian SDK serupa dalam ekosistem Solana dan zkSync; manakala logik bull menekankan bahawa lapisan protokol Qubic tidak terjejas, dan rangkaian telah dihentikan sementara ([23:06]), sehingga pembaikan boleh mempercepat proses piawaian sumber entropi dalam SDK dompet. Perlu diperhatikan bahawa kadar biaya dana berat BTC hanya 0.0055% ([14:41]), berada dalam zon neutral — ini menunjukkan aset utama belum berpindah kepada pandangan bear sistemik akibat satu insiden infrastruktur.

Perkara Lain yang Perlu Anda Tahu Hari Ini

• Jambatan rentas-rantai Cysic dicuri — pencetakan tidak sah 10 juta CYS ([18:57]): Penyerang mengakses pangkalan data secara tidak sah dan mencetak token tambahan di BNB Smart Chain; jambatan telah dihentikan — ini adalah kegagalan pengurusan kebenaran klasik, berfungsi sebagai pasangan perbandingan risiko teknikal terhadap kecacatan entropi Qubic;
• Kontrak kekal Papertrade dilancarkan di Hyperliquid ([19:27]): Leverage maksimum kontrak PAPER ialah 3x, harga USD0.012, tetapi pendapatan platform merosot 83% secara mingguan ([11:56]) — menunjukkan minat derivatif sedang berpindah dari naratif baharu ke persaingan sedia ada;
• Data Chainalysis: Pegangan bon AS bertokenisasi di Amerika Syarikat hanya 10.5% ([12:13]): Itali, Portugal dan Singapura bersama-sama menyumbang 66.9%, menunjukkan modal lepas pantai sedang memandu aliran bon di rantai — tren ini selaras dengan insiden Qubic dalam menunjukkan arah penyebaran geografi penyimpanan aset Web3.

Tiga Titik Pemerhatian Utama Seterusnya

1. Jadual pengumuman peningkatan sumber entropi SDK dompet Qubic: Jika tiada langkah spesifik untuk meningkatkan entropi (contohnya, mewajibkan penggunaan getRandomValues() dari Web Crypto API) diumumkan sebelum 22 Oktober (Khamis ini), pasaran akan menganggap respons teknikal Qubic lambat;
2. Adakah garis kos pembeli baru BTC di Bitfinex dilanggar?: Kos purata kelompok ini ialah USD75,000 ([22:08]); jika BTC jatuh di bawah USD79,000 dan kekal di sana selama 48 jam, ia mungkin mencetuskan pelepasan semula modal jangka sederhana–panjang;
3. Perkembangan pengambilan pekerjaan jabatan aset digital Franklin Templeton: Jika temu duga pusingan pertama untuk jawatan seperti 'Pengurus Kredit Persendirian Franklin Crypto' bermula sebelum 25 Oktober, ini akan menandakan peralihan perhatian pengurus aset tradisional dari tahap kepatuhan ke tahap pelaksanaan teknikal dalam piawaian keselamatan infrastruktur rantai.

Amaran Risiko — Aset kripto sangat tidak stabil. Artikel ini merupakan ringkasan maklumat dan perkongsian pandangan sahaja, dan tidak merupakan nasihat pelaburan.