רשת Qubic הושבתה לאחר ריקון 1,404 ארנקים — והחולשה לא הייתה בבלוקצ'יין

צוות הליבה של Qubic, רשת בלוקצ'יין עצמאית מסוג שכבה ראשונה, הודיע ב-18 באוקטובר כי תוקף ריקן 1,404 ארנקים ברשת ונטל מהם כ-2.94 טריליון יחידות של מטבע הרשת, QU. הוולידטורים — המפעילים שמאשרים את הבלוקים ומקדמים את השרשרת — עצרו את הרשת הראשית, וההשבתה הזאת היא שחסמה את המשך המהלך.

השווי הכספי מדווח בשני מספרים שונים: Bitcoin.com News נוקב בכ-1.3 מיליון דולר, ואילו crypto.news מדווח על כ-1.4 מיליון דולר. אין במקורות שלפנינו הסבר לפער, ושווי דולרי של מטבע נגזר משער שמשתנה משעה לשעה — כך שבמקרה כזה מדובר בהערכה, לא במספר סגור.

הסיד שלא היה מקרי דיו

לפי Crypto Briefing, מקור הכשל אינו בפרוטוקול של הרשת אלא בתוכנת ארנק של צד שלישי, ו-crypto.news מתאר באופן דומה ניצול של חולשה באבטחת הארנקים. Bitcoin.com News מפרט יותר ומייחס את הפרצה לסידים שנוצרו במכשירי אפל ובדפדפנים מיושנים והיו צפויים מדי. הפירוט הזה מופיע במקור אחד בלבד, והודעת הצוות כפי שהיא מובאת בדיווחים אינה מאשרת אותו במפורש — כך שראוי להתייחס אליו כהשערה שהוצגה בדיווח, לא כמסקנת חקירה.

כדי להבין למה דווקא זה כל כך מסוכן, צריך לדעת כיצד נוצר ארנק. הארנק אינו מכיל מטבעות; הוא מחזיק מפתח פרטי, ואותו מפתח נגזר מ«סיד» — גרעין סודי שנבחר באקראי בעת יצירת הארנק. האקראיות היא כל ההגנה. אם התוכנה שמגרילה את הסיד משתמשת במקור אקראיות חלש — למשל מחשבון זמן או מספר מזהה שאפשר לנחש — התוקף אינו צריך לפרוץ לשום מקום. הוא מייצר בעצמו את כל הסידים האפשריים, בודק אילו מהם מתאימים לארנקים שיש בהם יתרה, ומושך את הכספים כבעל המפתח הלגיטימי. זו משפחת כשלים מוכרת בעולם הארנקים שנוצרו בתוך דפדפן, ולא פגם בבלוקצ'יין שעליו הם יושבים. מבחינת הרשת, העברות אלו היו חתומות כהלכה.

הקפאה כאמצעי חירום

לפי הדיווחים, רוב הכספים הגנובים נותרו על הרשת עצמה, כלומר תקועים בתוך בלוקצ'יין שאינו מתקדם, וחלק נוסף הוקפא בבורסת MEXC. השילוב הזה — עצירת הרשת מצד אחד, פנייה לבורסה מרוכזת מצד שני — הוא בפועל שתי דרכים לקנות זמן.

עצירת רשת שלמה בידי קבוצת הוולידטורים היא מהלך שעובד, ובדיוק מאותה סיבה הוא גם חושף משהו: רשת שאפשר להשבית בהחלטה מתואמת של המפעילים שלה אינה מבוזרת כפי שנהוג להניח על בלוקצ'יין. במקרה הזה התכונה פעלה לטובת הנפגעים. היא יכולה לפעול גם בכיוון אחר.

הקפאת היתרות בבורסה היא הצד השני של אותו מטבע. כספים שהועברו לבורסה מרוכזת כבר אינם בשליטת המחזיק אלא בשליטת הבורסה — וזה מה שמאפשר לה לחסום אותם לבקשת צוות הפרויקט. אך אין בדיווחים שלפנינו מועד לחידוש פעילות הרשת, אין הכרעה אם וכיצד יוחזרו הכספים לבעליהם, ואין נתון על מספר הארנקים שהסיד שלהם נוצר באותה דרך ועדיין לא נפגעו. מי שממתין לתשובות אלו ממתין להודעה נוספת של הצוות.

מי צריך לפעול, ומה לא יעזור

אם המנגנון שתואר בדיווחים נכון, הנגזרת המעשית צרה וברורה: הסיכון אינו בסיסמה ואינו בהתחברות, אלא בסיד עצמו. מכאן שהחלפת סיסמה, הוספת אימות דו-שלבי או מעבר לתוכנת ארנק אחרת — אינם מועילים כלל, מפני שהסיד הבעייתי נשאר אותו סיד. הדרך היחידה לצאת מהחשיפה היא ליצור ארנק חדש לגמרי, בתוכנה עדכנית ממקור אמין או בארנק חומרה, ולהעביר אליו את היתרה מהארנק הישן.

מי שרלוונטי לו הדבר הזה הוא מי שיצר ארנק — בכל רשת, לא רק Qubic — בתוך דפדפן או במכשיר מלפני שנים, והשאיר בו כספים מאז. סיד שנוצר אז לא בהכרח נוצר בשיטה שנחשבת בטוחה היום, והוא אינו נעשה בטוח יותר עם הזמן.

מקורות: Crypto Briefing · Bitcoin.com News · crypto.news

המידע בכתבה נועד להרחבת הדעת בלבד ואינו מהווה ייעוץ השקעות או תחליף לייעוץ מקצועי.