Qubic 钱包的漏洞分析，暴露了一个很容易被忽视的安全问题：私钥不一定要被直接窃取，只要生成私钥的随机数可以被预测，攻击者就可能反推出账户控制权。 @Sl… · @0xKillCoin · TwKit

@0xKillCoin

Qubic 钱包的漏洞分析，暴露了一个很容易被忽视的安全问题：私钥不一定要被直接窃取，只要生成私钥的随机数可以被预测，攻击者就可能反推出账户控制权。 @SlowMist_Team 慢雾发现，Qubic Wallet 使用的 Math.random() 不适合生成需要密码学安全性的账户种子，而且同一随机数序列的部分输出还被写入网络数据包的 dejaVu 字段。根据其本地 PoC，在特定条件下，连续获取 6 个相关数值就可能恢复随机数生成器的内部状态，进而重建账户种子和私钥。 这类漏洞危险的地方在于，钱包表面上可能一切正常，用户却很难判断自己的账户是否处于风险之中。安全问题藏在底层实现里，不能指望用户通过日常操作来规避。 不过，报告展示的是一种潜在攻击路径，并不能据此认定此前发生的 QU 被盗事件就是通过这一方法完成的。Qubic 此前披露有 1,404 个钱包被盗，损失约 2.94 万亿枚 QU，相关用户应以项目方发布的安全公告和处置方案为准。

曝光 5 · 评论 0 · 点赞 0 · 书签 0