Qubic 지갑 해킹 — 약한 시드로 1,404개 지갑 털려 체인 정지

Qubic(QU)에서 예측 가능한 시드로 만든 지갑 1,404개가 털렸고, 검증인들이 체인을 멈췄어요. 원인은 네트워크 코드가 아니라 지갑이 시드를 만들 때 쓴 약한 난수였어요. 빼앗긴 QU의 87.1%는 체인 안에 그대로 묶여 있고, 나머지 12.9%는 MEXC가 받은 계정을 동결했어요.

Qubic 지갑 해킹, 무슨 일이 있었나

공격은 10월 17일 23:42(UTC)부터 10월 18일 01:26(UTC)까지 104분 동안 이어졌어요. 한국 시간으로는 10월 18일 오전 8시 42분부터 10시 26분까지예요.

항목	내용
털린 지갑	1,404개
빼앗긴 QU	약 2조 9,400억 개
달러 가치	매체 집계로 약 130만~140만 달러
체인 정지 지점	tick 85,371,949
체인 안에 묶인 몫	87.1%
MEXC로 간 몫	12.9% (약 1시간 안에 계정 동결)

tick은 Qubic 네트워크가 앞으로 나아가는 단위예요. 다른 체인의 블록과 비슷하게 보면 돼요. 체인이 이 지점에서 멈췄기 때문에 공격자가 옮긴 QU 대부분이 밖으로 나가지 못했어요.

보도에 따르면 비트겟(Bitget)도 예방 차원에서 QUBIC 입출금을 멈췄어요. 거래소에 QU를 맡긴 분은 쓰는 거래소의 입출금 공지를 확인해 보세요.

원인은 약한 시드

시드(Seed)는 지갑의 주인임을 증명하는 비밀 문자열이에요. 이걸 아는 사람은 누구든 지갑의 돈을 옮길 수 있어요. Qubic 시드는 영어 소문자 55자로 이뤄져요.

문제는 이 55자를 고르는 방식이었어요. Qubic 공식 GitHub의 웹 지갑 코드를 보면, 예전 버전은 자바스크립트의 Math.random()으로 글자를 하나씩 뽑았어요. Math.random()은 화면 효과처럼 가벼운 용도로 만든 난수예요. 암호용으로 쓰면 결과가 생각보다 덜 무작위할 수 있어요.

보도에 따르면 공격자는 경우의 수를 전부 대입하지 않았어요. 예측 가능한 시드 목록을 좁혀서 만든 뒤, 그중 돈이 들어 있는 지갑을 골라 털었어요.

위험한 시드를 만든 환경

아래 환경에서 만든 시드가 대상이에요.

• 아이폰·아이패드의 모든 브라우저
• 맥의 사파리 (2026년 10월 18일까지)
• 2025년 7월 이전의 Qubic iOS 앱

내 시드를 어디서 만들었는지 먼저 떠올려 보세요.

Qubic이 고친 것

Qubic은 10월 18일 공식 GitHub에 웹 지갑 4.26.4 버전을 올렸어요. 변경 내용은 두 줄이에요. "시드 생성 수정"과 "암호학적으로 안전한 시드 생성 사용"이에요.

코드를 보면 Math.random() 대신 브라우저의 crypto.getRandomValues()를 써요. 이건 암호용으로 만든 난수예요. 특정 글자가 더 자주 나오지 않도록, 234 이상의 값은 버리고 다시 뽑는 처리도 들어갔어요. 안전한 난수를 쓸 수 없는 환경이면 시드를 만들지 않고 오류를 내요.

크립토브리핑에 따르면 개발팀은 공격자가 손대기 전에 위험한 지갑의 자금 일부도 따로 지켰어요. 스테이킹 기능인 QEARN은 이번 사고와 관계가 없다고 해요.

고쳐도 남는 문제

새 버전은 앞으로 만드는 시드만 안전하게 해요. 이미 약한 방식으로 만든 시드는 그대로 약해요. 그래서 위 환경에서 시드를 만든 분은 체인이 다시 돌아간 뒤의 공식 안내를 꼭 확인해 보세요.

빼앗긴 QU는 어떻게 되나

Qubic의 검증인 그룹을 컴퓨터(Computor)라고 불러요. 묶여 있는 QU를 어떻게 돌려줄지는 이 컴퓨터들이 투표로 정해요.

• 체인 재시작 날짜는 아직 발표되지 않았어요.
• 복구 방안이 정해진 뒤 전체 기술 보고서를 내겠다고 했어요.
• 피해자에게는 경찰 신고를 권하고 있어요.

투표 결과와 보상 방식은 아직 정해지지 않았어요. 숫자나 일정이 나오면 Qubic 공식 채널에서 확인해 보세요.

정리

• Qubic에서 약한 시드로 만든 지갑 1,404개가 104분 동안 털렸고, 체인은 tick 85,371,949에서 멈췄어요.
• 원인은 웹 지갑이 Math.random()으로 시드를 만든 것이고, 4.26.4 버전에서 암호용 난수로 바꿨어요.
• 빼앗긴 QU의 87.1%는 체인 안에, 12.9%는 MEXC 동결 계정에 있고, 복구 방법은 검증인 투표로 정해요.

QU를 가지고 있다면 시드를 아이폰·아이패드, 맥 사파리, 옛 iOS 앱에서 만들었는지 먼저 확인해 보세요. 해당된다면 체인 재시작 뒤 나올 Qubic 공식 안내를 놓치지 않게 챙겨 보세요.