Zasady odzyskiwania Qubic wymagają sprawdzenia własności nawet dla nieukradzionych funduszy w podatnych portfelach

Zasady odzyskiwania Qubic mogą pozostawić właściciela podatnego portfela w potrzebie uzyskania zgody na odzyskanie dostępu, nawet gdy jego fundusze nigdy nie zostały skradzione. Aktualizacja rdzenia sieci blockchain z 21 października dodaje dalsze zmiany dotyczące zamrożonych adresów do projektu, który wykracza poza monety już zabrane przez napastnika.

Incydent dotyczył słabo wygenerowanych sekretów portfela, które napastnik mógł odtworzyć. Zarówno napastnik, jak i pierwotny posiadacz mogą następnie wygenerować ważny podpis. Zasady odzyskiwania Qubic wymagają zatem dowodów wykraczających poza ten podpis, zanim roszczenie zostanie zatwierdzone.

Jak zamrożenie zmienia dostęp

Wydanie v1.308.2 z 19 października określa dwie odrębne operacje depozytowe: przenoszenie wyczerpanych QU z tożsamości napastników oraz przenoszenie QU i aktywów z podatnych portfeli. Określa również zamrażanie podatnych tożsamości, anulowanie ich otwartych zamówień QX i uczynienie tick 85,371,950 pustym.

To szersza interwencja niż śledzenie monet po kradzieży. Jej określony zakres obejmuje zabezpieczenie aktywów, zanim napastnik je usunie. Anulowanie otwartego zamówienia przerywa również istniejącą oczekującą instrukcję, więc projekt odzyskiwania obejmuje otwarte zamówienia, jak również swobodnie dostępny bilans QU.

Zakres oparty jest na adresach. Kod wyszukiwania zamrożonych adresów w wydaniu ładował tożsamości z listy, konwertował je na klucze publiczne i sprawdzał, czy klucz publiczny należy do tego zestawu.

To rozróżnienie oddziela dwa pytania, przed którymi staje posiadacz: czy sekret portfela jest niebezpieczny i czy adres mieści się w mechanizmie odzyskiwania. Opublikowany mechanizm zamrożenia zależy od listy adresów, podczas gdy bezpieczne zastępcze dane uwierzytelniające wymagają nowego ziarna.

Wydanie z 21 października utrzymuje ograniczenia adresowe jako aktualny problem. Jego notatki określają więcej aktualizacji zamrożonych adresów i tick początkowy epoki 236 wynoszący 86,000,000.

Wnioskodawcy muszą dostarczyć wymienioną tożsamość źródłową, bezpieczny nowy cel, podpisaną wiadomość i dowód własności. Portal wymienia rekordy wypłat z giełdy, wcześniejsze ścieżki finansowania i podpisy z nieuszkodzonych adresów finansowania jako przykłady. Główni deweloperzy przeglądają te dowody; kworum komputerowe sieci decyduje i stosuje odzyskiwanie. Sam portal nie przenosi żadnych funduszy.

Weryfikacja tożsamości Didit jest opcjonalna. Okno roszczeń trwa do 1 maja 2027 roku. Zgodnie z opublikowanym procesem, zatwierdzone adresy i kwoty pojawiają się przez siedem dni przed wypłatą, podczas gdy nierozwiązane konkurencyjne roszczenia pozostają zamrożone w depozycie.

Relacja CryptoSlate z 24 września na temat odzyskiwania Coldcard opisała powiązany problem z własnością: dopasowanie publicznego adresu rozpoczęło roszczenie, a kontrole były nadal wymagane przed zwrotem. Opublikowane zmiany rdzenia Qubic dodają zamrożenie tożsamości wymienionych na poziomie protokołu.

Naprawa portfela nie kończy odzyskiwania

Naprawa portfela dotyczy sposobu, w jaki tworzone są zastępcze sekrety. Wydanie repozytorium Qubic v4.26.4 datowane jest na 18 października i zawiera zmianę w generowaniu bezpiecznego ziarna.

Powiązana poprawka zastępuje tworzenie ziarna oparte na Math.random w JavaScript zarówno w przepływach create-vault, jak i edit-seed. Wspólny generator używa crypto.getRandomValues, odrzuca wartości bajtowe, które mogłyby zniekształcić wybór liter i nie działa, jeśli bezpieczna losowość nie jest dostępna.

Te zmiany poprawiają proces używany do generowania nowego ziarna. Nie przepisują sekretu kontrolującego istniejący portfel. Zainstalowanie poprawionego oprogramowania przy zachowaniu starego ziarna pozostawia ten credential niezmienionym, dlatego bezpieczna zastępcza tożsamość wymaga nowo wygenerowanego sekretu.

Punkt końcowy RPC Qubic zgłosił epokę 236 przy tick 86,154,732 podczas tej recenzji 22 października, przekraczając punkt początkowy wydania wynoszący 86,000,000. Dokumentacja Qubic identyfikuje punkt końcowy jako źródło aktualnych informacji o tick.

Trasy odzyskiwania również się różnią. Portal przypisuje wyczerpane QU, które nadal są na Qubic, do odzyskiwania depozytowego, fundusze skierowane do MEXC do osobnego procesu wymiany, który według niego jest wolniejszy i zależy od współpracy organów ścigania, a słabe, ale nie wyczerpane portfele są uwalniane po weryfikacji.

Przeglądane wydania, zasady roszczeń i zrzuty tick nie dostarczają żadnej uzgodnionej całkowitej wartości bilansu niewyczerpanego ani niezależnie zweryfikowanej całkowitej wartości spłaty.

Dla dotkniętych posiadaczy, miarą konsekwentną jest przywrócony dostęp do bezpiecznego celu. Opublikowany projekt Qubic może chronić wymienione salda przed skompromitowanym kluczem, jednocześnie uzależniając ich zwolnienie od dowodów i zbiorowej autoryzacji.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.