1400 kriptotárca ürült ki egyetlen éjszaka alatt, és a módszer megdöbbentően egyszerű volt

A Qubic hálózat októberben kénytelen volt leállítani a blokkláncát, miután egy támadó körülbelül 1400 wallet tartalmát ürítette ki. A módszer nem valami egzotikus nulladik napos sérülékenység volt — a hacker egyszerűen gyenge, kiszámítható seed phrase-eket törte fel brute-force módszerrel. Ez az eset nem a Qubic-specifikum miatt érdekes, hanem azért, mert pontosan ugyanez megtörténhet bármely hálózaton, bármely felhasználóval, aki nem érti, mit jelent valójában egy erős seed.

Mi történt pontosan?

A támadó nem a protokollt támadta — a Qubic kódja nem sérült. Ehelyett olyan wallet-eket célzott meg, amelyekhez gyenge, előre kiszámítható seedeket használtak. Az ilyen seedekhez tartozó privát kulcsok matematikailag levezethetők, ha valaki elég számítási kapacitással rendelkezik, és tudja, mit keres.

1400 wallet egyetlen akcióban. Ez nem kis szám, és a valószínűség azt sugallja, hogy ezeknek a tulajdonosai nem egymástól függetlenül követtek el véletlenszerű hibákat — hanem szisztematikusan, rosszul értelmezték, mit jelent „véletlenszerű” seed létrehozása.

Mi az a seed phrase, és miért számít?

A legtöbb modern kriptovaluta wallet egy ún. mnemonic seed phrase-t használ — jellemzően 12 vagy 24 szót, amelyek a BIP-39 szabvány szerint kódolnak egy nagy, véletlenszerű számot. Ez a szám az összes privát kulcsod gyökere. Ha valaki megszerzi ezt a seedet, az összes vagyonod felett rendelkezik — visszavonhatatlanul.

A lényeg: a seed értéke nem a szavakban van, hanem abban az entrópiában, amit azok képviselnek. Egy 12 szavas seed ideális esetben 128 bit entrópiát tartalmaz. Ez akkora szám, hogy brute-force feltörése a jelenlegi kvantumszámítógép előtti technológiával fizikailag lehetetlen — ha valóban véletlenszerűen generálták.

Mikor válik törhetővé egy seed?

Az entrópia csak akkor éri el az elméleti maximumot, ha a generálás forrása valódi, kriptográfiai minőségű véletlenszám. Számos felhasználó — tudtán kívül — ezt rontja el:

• Saját maguk választanak szavakat — az emberi agy nem képes valódi véletlenszámot generálni. Mintákat keresünk, értelmes szósorokat alkotunk.
• Gyenge szoftvergenerátor — egyes régebbi vagy rosszul implementált alkalmazások nem megfelelő véletlenszám-generátort (PRNG helyett CSPRNG-t kellene) használnak.
• Ismételt vagy szótár-alapú szavak — néhányan olyan szavakat választanak, amelyek egy listán vannak, szótári sorrendben vagy saját nevükből/születési dátumból kiindulva.
• Tesztelési seedek élesben — fejlesztők vagy kísérletező felhasználók „dummy” seedeket hagynak aktív wallet-ekben.

A Qubic-incidens valószínűsíthetően ezek valamelyikével magyarázható. Egy elszánt támadó nem az összes lehetséges kombinációt próbálja ki — hanem az emberek által „véletlenszerűnek” hitt, de valójában kiszámítható szósorokat.

Hogyan ellenőrzöd a saját seed-ed erősségét?

Először is: soha ne vidd be a seed phrase-edet online eszközbe. Ha valaki erre kér, az szinte biztosan átverés. Amit tehetsz:

1. Ellenőrizd a forrást — csak nyílt forráskódú, auditált wallet-ből (pl. Sparrow, Electrum, hardware wallet gyártó szoftvere) generálj seedet. Nézd meg, hogy a dokumentáció megemlíti-e a CSPRNG (Cryptographically Secure Pseudo-Random Number Generator) használatát.
2. Hardware wallet, ha komolyabb összeget tartasz — ezek dedikált chipje kifejezetten kriptográfiai minőségű véletlenszám-generálásra van tervezve, és soha nem hagyja el a seedet a fizikai eszközt.
3. Nézd meg a BIP-39 szólistát — ha a saját wordlistből válogattál, az gond. A validált BIP-39 lista 2048 szót tartalmaz; ha a wallet ezekből generálta, és a szoftver megbízható, az alapvetően rendben van.
4. Az entrópia-tesztelő eszközök offline futtatása — egyes fejlesztők lokálisan futtatható Python-scripteket tesznek elérhetővé, amelyek ellenőrzik a seed BIP-39 validitását anélkül, hogy a szavakat elküldenék bárhova.

A „12 véletlenszerű szó” tévhite

Sokan azt gondolják: ha maguk írnak fel 12 „random” szót, az biztonságos. Nem az. A kutatások egyértelműen mutatják, hogy az emberek által „véletlenszerűen” választott sorozatok szignifikánsan kisebb entrópiát tartalmaznak, mint a gépileg generáltak. Kognitív torzítások, szófrekvencia-preferenciák, személyes asszociációk — ezek mind szűkítik a lehetséges kombinációk valós terét.

A brute-force támadások pontosan ezt használják ki. Nem az összes 2048^12 kombinációt próbálják végig (ez kivitelezhetetlen), hanem az emberileg valószínű szósorokat — és meglepően gyorsan találnak találatot.

Gyakorlati minimum: mit tegyél most?

• Régi, kérdéses forrásból generált wallet? Hozz létre egy újat megbízható szoftverrel, és utald át az összeget.
• Papíron tárolt seed? Ellenőrizd, hogy fizikailag biztonságos helyen van-e, és nem láthatja senki. Tűzálló fém seed-tároló (pl. Cryptosteel) komolyan jobb, mint egy cetli.
• Digitálisan mentett seed? Ez az egyik legkockázatosabb megoldás. Felhőszolgáltatásban, emailben, fotóként telefon galériában — ezek mindegyike potenciális belépési pont.
• Passphrase (BIP-39 25. szó) — extra védelmi réteg. Ha valaki megszerzi a 12 vagy 24 szavadat, de nem tudja a passphrase-t, még mindig nem fér hozzá a vagyonodhoz. Egyes hardware wallet-ek ezt natívan támogatják.

Miért fontos ez Bitcoin-felhasználókként is?

A Qubic egy kisebb hálózat, de a seed-biztonság kérdése univerzális. A Bitcoin wallet-ek ugyanazt a BIP-39 szabványt használják — és a gyenge seed probléma itt is valós. Léteznek ún. „honeypot” wallet-ek, amelyeket kutatók szándékosan hoznak létre gyenge seedekkel, hogy mérjék, mennyi idő alatt ürítik ki őket. Az eredmény sokszor perceken belüli kompromittálódás.

Ez nem elméleti veszély. 2026-ban, amikor az automatizált scanning eszközök olcsók és elérhetők, a gyenge seed élettartama mérhetően rövid.

Összefoglalás

A Qubic-eset tanulsága egyetlen mondatban összefoglalható: a seed erőssége nem attól függ, mennyire tartod véletlenszerűnek — hanem attól, milyen forrásból generálták. Az emberi intuíció alkalmatlan erre a feladatra, és a támadók pontosan ezt tudják.

Amit érdemes most megtenni: ellenőrizd, hogy melyik szoftverrel és mikor generáltad a seed-edet, használj hardware wallet-et komolyabb összegekhez, és soha ne tárolj seedet digitálisan, felhőben vagy képernyőképen. A kriptográfiai biztonság nem bonyolult — de nem is az, amit a legtöbben gondolnak.

A Qubic 1400 érintett wallet-je egy figyelmeztetés. Az, hogy melyik hálózaton történt, lényegtelen. Ami lényeges: ugyanez megtörténhet veled is, ha a seed generálása nem volt valóban véletlenszerű.