Qubic 1404个钱包被盗：问题出在种子随机数，用苹果设备建过钱包的人怎么自查

Qubic钱包被盗，是链被攻破了吗？不是。按Qubic官方2026-10-18的通报，问题出在钱包种子的生成环节：部分55位字符种子生成时随机性不够，攻击者把这些「可预测」的种子算了出来，再挑有余额的钱包转走。协议本身没有被攻破。

时间线很短。UTC时间10月17日23:42到18日01:26，也就是新加坡/北京时间10月18日早上7:42到9:26，不到两小时，1404个钱包被清空，合计约2.94万亿QU。多家媒体按当时价格折算约130万美元。

已确认的事实

项目	情况	来源
被盗钱包数与数量	1404个，约2.94万亿QU	Qubic官方通报
原因	种子生成随机性不足，不是协议漏洞	官方通报
受影响的种子来源	在iPhone/iPad上通过浏览器生成、在Mac的Safari里生成、或早期版本Qubic iOS App生成	官方通报（媒体转述）
网络状态	计算节点（Computors）在tick 85,371,949暂停网络	官方通报
赃款去向	约87.1%仍在暂停的网络内无法移动；12.9%进入MEXC，接收账户被冻结	官方通报
修复	钱包v4.26.4改用密码学安全的种子生成	GitHub qubic/wallet发布说明
QEARN质押	未受影响	官方通报（媒体转述）
交易所	MEXC冻结相关账户；Bitget暂停QUBIC充提	媒体报道
赔付	由计算节点法定人数（quorum）决定，尚未公布	官方通报

「随机数不够」为什么能把钱偷走

钱包的种子（助记词、私钥都同理）安全，全靠「猜不到」。一个真正随机的55位种子，可能组合数大到地球上所有电脑算到宇宙毁灭也穷举不完。

但如果生成种子的程序用了不够随机的方法，比如依赖时间戳、或者用了非密码学安全的随机函数，实际可能出现的组合就会少很多。攻击者不用猜全部可能，只要把这个「小得多」的集合跑一遍，再查哪些地址有钱。

这和前几天Claude追溯NIST椭圆曲线种子来源那件事是一个道理：种子从哪来，决定了它到底有多安全。感兴趣可以看那篇解读。

GitHub上v4.26.4的修复说明只有两行：「更新seedgen」「使用密码学安全的种子生成」。从侧面也能看出，旧版本在这一步用的不是密码学安全随机数。

持有QU的人现在该做什么

1. 先确认你的种子是在哪生成的。回想一下：钱包是在iPhone、iPad的浏览器里建的？还是Mac的Safari？还是早期的Qubic iOS App？如果是，并且是在10月18日之前生成的，就当作有风险处理。

2. 网络暂停期间，什么也转不了。这是好事，攻击者也转不了。不要相信任何「趁现在赶紧转移」的私信或链接。

3. 网络恢复后，用4.26.4或更新版本新建钱包，把资产转过去。旧种子不要再用，即使它这次没被盗。随机性不足是生成时就决定的，事后改不了。

4. 只从官方渠道下载钱包。App从官方网站给出的商店链接进，网页钱包手动输入官方域名，不要点搜索广告。官网真假怎么辨，可以参考钱包官网防伪指南。

5. 等官方赔付公告，只看官方账号。赔付方案还没定，任何人说「填表登记赔付」「交手续费加快赔付」，都按诈骗处理。

事件后最常见的三种骗局

Qubic官方在通报里专门提醒了要防「找回资金」类诈骗。这类事件后套路基本固定：

骗局	典型话术	识别
假客服/假技术支持	「我是Qubic团队，帮你检查钱包是否受影响，请提供种子」	任何真团队都不会要你的种子或私钥
假赔付登记	「受害者赔付通道已开，连接钱包签名即可领取」	签名可能是授权转走你其他资产
追币公司	「我们能从链上追回，先付20%服务费」	先收钱的「追回」几乎都是二次诈骗

更多通用识别方法见区块链诈骗5个特征。如果你在其他链上签过可疑授权，可以用Revoke.cash检查并撤销；遇到诈骗地址可以到Chainabuse查询或举报。

不持有QU，也值得记住的教训

这次的问题不在助记词被人偷看，而在生成那一刻就不够随机。这种风险用户几乎无法自己察觉。能做的是降低暴露面：

大额资产放硬件钱包。Ledger、Trezor、OneKey这类设备的种子在设备内的安全芯片里生成，不依赖浏览器。但硬件钱包也要从官方渠道买，前段时间东南亚经销商渠道就出过植入事件，见硬件钱包自检。

少用网页里「一键生成钱包」的功能存大钱。浏览器里的随机数实现取决于具体代码和环境，小项目的网页钱包未必经过严格审计。

热钱包和冷钱包分开。日常交互用MetaMask这类热钱包放小额，长期持有放冷钱包，思路见冷热钱包怎么分。

关注项目方的安全通报。这次Qubic从发现到暂停网络反应很快，大部分赃款没跑掉。但不是每个项目都能做到，持有小币种前看看它出过什么事、怎么处理的。可以对照10月安全事件复盘，也可以关注慢雾 SlowMist这类安全机构的通报。

行情和项目数据可以在CoinMarketCap、CoinGecko查看；更多钱包、交易所和防骗工具见站内币圈Web3导航与安全/防骗分类。

风险提示

本文只陈述公开事实和安全操作，不构成任何投资建议，也不预测价格。加密资产波动大、项目可能暂停或失败，被盗资金能否赔付以Qubic官方最终决定为准。请遵守你所在地区的法律法规；中国大陆居民请注意，虚拟货币相关业务活动在大陆属于非法金融活动，相关风险自担。

常见疑问

我的钱包是在安卓手机或Windows电脑上建的，安全吗？按官方通报，这次被点名的是苹果设备上的浏览器、Mac的Safari和早期iOS App。其他环境没有被列入，但这不代表绝对安全。如果你不确定当时用的是什么设备，网络恢复后换一个新版本生成的新钱包，成本很低。

钱被盗了，能拿回来吗？目前约87.1%的被盗QU卡在暂停的网络里，12.9%在MEXC被冻结，理论上都还在可控范围内。具体怎么处理要等计算节点投票，官方已经发起了社区意见征集。耐心等官方公告，别找第三方「加急」。

交易所里的QUBIC受影响吗？交易所托管的资产不是你自己生成的种子，这次的种子问题不直接影响。但部分交易所暂停了QUBIC充提，资金进出要等恢复后再操作。

来源与核查日期

• Qubic官方X：Security incident update（2026-10-18 12:29 UTC）
• GitHub：qubic/wallet v4.26.4发布说明

核查日期：2026-10-19（新加坡时间）。赔付进展以Qubic官方后续公告为准。