Le regole di recupero di Qubic richiedono controlli di proprietà anche per i fondi non rubati in portafogli vulnerabili

Le regole di recupero di Qubic possono lasciare il proprietario di un portafoglio vulnerabile in attesa di approvazione per riacquistare l'accesso anche quando i suoi fondi non sono mai stati rubati. L'aggiornamento principale della rete blockchain del 21 ottobre aggiunge ulteriori modifiche agli indirizzi congelati a un design che va oltre le monete già sottratte da un attaccante.

L'incidente ha coinvolto segreti di portafoglio generati debolmente che un attaccante potrebbe riprodurre. Sia l'attaccante che il titolare originale possono quindi produrre una firma valida. Le regole di recupero di Qubic richiedono quindi prove oltre a quella firma prima che una richiesta venga approvata.

Come il congelamento cambia l'accesso

La versione v1.308.2 del 19 ottobre specifica due operazioni di deposito distinte: spostare QU drenati da identità di attaccanti e spostare QU e beni da portafogli vulnerabili. Specifica anche il congelamento di identità vulnerabili, annullando i loro ordini QX aperti e rendendo il tick 85.371.950 vuoto.

Si tratta di un intervento più ampio rispetto alla tracciabilità delle monete dopo un furto. Il suo ambito dichiarato include la protezione degli asset prima che un attaccante li rimuova. L'annullamento di un ordine aperto interrompe anche un'istruzione in attesa esistente, quindi il design di recupero raggiunge ordini aperti così come un saldo QU liberamente disponibile.

L'ambito è basato sugli indirizzi. Il codice di ricerca degli indirizzi congelati della versione carica identità da un elenco, le converte in chiavi pubbliche e verifica se una chiave pubblica appartiene a quel set.

Questa distinzione separa due domande che un titolare deve affrontare: se il segreto del portafoglio è insicuro e se l'indirizzo rientra nel meccanismo di recupero. Il meccanismo di congelamento pubblicato dipende dall'elenco degli indirizzi, mentre le credenziali di sostituzione sicura richiedono un nuovo seed.

La versione del 21 ottobre mantiene le restrizioni sugli indirizzi come un problema attuale. Le sue note specificano ulteriori aggiornamenti sugli indirizzi congelati e un tick di inizio epoca 236 di 86.000.000.

I richiedenti devono fornire un'identità di origine elencata, una nuova destinazione sicura, un messaggio firmato e prove di proprietà. Il portale nomina i record di prelievo degli scambi, le tracce di finanziamento precedenti e le firme da indirizzi di finanziamento non colpiti come esempi. Gli sviluppatori principali esaminano quelle prove; il quorum computazionale della rete decide e applica il recupero. Il sito stesso non sposta fondi.

La verifica dell'identità Didit è facoltativa. La finestra di richiesta si estende fino al 1° maggio 2027. Secondo il processo pubblicato, gli indirizzi e gli importi approvati appaiono per sette giorni prima del pagamento, mentre le richieste concorrenti non risolte rimangono congelate in deposito.

La copertura del recupero Coldcard di CryptoSlate del 24 settembre ha descritto un problema di proprietà correlato: una corrispondenza di indirizzo pubblico ha avviato una richiesta, con controlli ancora richiesti prima di un ritorno. Le modifiche principali pubblicate da Qubic aggiungono un congelamento a livello di protocollo delle identità elencate.

Una correzione del portafoglio non conclude il recupero

La correzione del portafoglio affronta come vengono creati i segreti di sostituzione. La versione v4.26.4 di Qubic è datata 18 ottobre e include la modifica della generazione di seed sicuri.

La patch collegata sostituisce la creazione di seed basata su Math.random di JavaScript sia nei flussi create-vault che edit-seed. Un generatore condiviso utilizza crypto.getRandomValues, rifiuta valori byte che potrebbero influenzare la selezione delle lettere e fallisce se la casualità sicura non è disponibile.

Queste modifiche migliorano il processo utilizzato per generare un nuovo seed. Non riscrivono il segreto che controlla un portafoglio esistente. L'installazione di software corretto mantenendo il vecchio seed lascia quella credenziale invariata, motivo per cui un'identità di sostituzione sicura richiede un segreto generato di recente.

L'endpoint RPC di Qubic ha riportato l'epoca 236 a tick 86.154.732 durante questa revisione del 22 ottobre, oltre il punto di partenza di 86.000.000 della versione. La documentazione di Qubic identifica l'endpoint come una fonte di informazioni sul tick attuale.

Le rotte di recupero differiscono anche. Il portale assegna QU drenati ancora su Qubic al recupero in deposito, i fondi diretti a MEXC a un processo di scambio separato che afferma essere più lento e dipendere dalla cooperazione delle forze dell'ordine, e i portafogli deboli ma non drenati vengono rilasciati dopo verifica.

Le versioni esaminate, le regole di richiesta e gli istantanee dei tick non forniscono un totale di saldo non drenato riconciliato o un totale di rimborso completato verificato in modo indipendente.

Per i titolari colpiti, la misura conseguente è il ripristino dell'accesso a una destinazione sicura. Il design pubblicato di Qubic può proteggere i saldi elencati da una chiave compromessa mentre rende il loro rilascio dipendente da prove e autorizzazione collettiva.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.