Vol.9 的尾声留了个悬念：下一个投票杀死自己的链会是谁。这周 Qubic 给了个歪答案，不用投票，一个随机数函数就够了。攻击者用 104 分钟清空 1404 个钱包，Qubic 按下全网暂停键。链没有黑，只是不转了。另外 Balancer 的葬礼办完了，99.2% 赞成，体面。
一、一个函数的 104 分钟
先说这周最大的安全事件。
10 月 17 日 23:42 UTC，有人开始对 Qubic 钱包动手。到 10 月 18 日 01:26 UTC 停手，104 分钟，1404 个钱包被清空，总共约 2.94 万亿枚 QU，按当时价格约 140 万美元。
钱去哪了分两块。87.1% 大约 2.56 万亿 QU 还冻在链上，因为 Qubic 直接把网络暂停在了 tick 85,371,949，币动不了。剩下 12.9% 约 3792.6 亿 QU 打进了 MEXC，交易所在一小时内冻结了收款账户，MEXC 随后暂停了 QUBIC 的充提。截至发文，网络还停着，重启时间没公布。
根因说出来有点好笑。Qubic 官方把漏洞定位到钱包软件的种子生成，不是链本身。具体是 Web 钱包里用了 JavaScript 的 Math.random() 来生成助记词种子，修复版本 4.26.4 把它换成了 crypto.getRandomValues()。
这是密码学课第一周就该讲的常识。Math.random() 是给游戏骰子和验证码用的，不是给私钥用的，它的输出可预测，熵不够。用它生成的种子，攻击者可以批量枚举，相当于把 1404 把锁换成了同一批很容易配出来的钥匙。受影响范围官方列了三类：10 月 18 日之前在 iPhone 或 iPad 上任何浏览器里创建的钱包，Mac 上 Safari 创建的，以及 2025 年 7 月之前用 Qubic iOS 应用创建的。
这里有个值得记下的细节，修复只管新种子。已经生成的弱种子不会因为打补丁变安全，就像 Coldcard 今年 7 月那次的教训，固件熵从 128 bit 掉到 40 bit，攻击者 25 分钟清了约 500 台设备 594 枚 BTC，价值 3800 万美元，事后固件更新了，但旧种子还是得换。这次 Qubic 也是同样的话：软件修好了，你的旧种子照样在被枚举的名单上。
二、暂停键与投票键
这次事件里最值得玩味的是 Qubic 的应对方式：全网暂停。
一条主打「高性能」的 Layer 1，共识机制叫 Useful PoW，算力拿去跑 AI 训练，号称零 gas 费。被偷之后的第一反应是把整条链摁停。官方的说法是漏洞在钱包不在协议，链本身安全。链本身安全，所以链停了，这句话在 L1 世界是成立的黑色幽默。好处也真实：87% 的赃款就是靠这一停冻住的，链上资金跑不了，等治理给说法。
现在球在 676 个 Computors 脚下。这是 Qubic 的共识节点，恢复方案要他们投票，是回滚交易，还是用别的机制赔付，都还没定。首次投票据说已经启动，截至发文没有最终结果。
背景再补一层。Qubic 是 IOTA 联创 Come-from-Below（Sergey Ivancheglo）的项目，去年 8 月干过一件更出圈的事：用自家矿工拿下了 Monero 超过 51% 的算力，重组了别人的链，社区还投票说下一个目标是 DOGE。去年改写别人的账本，今年被一个 JS 函数改写了自己的钱包，这个对称性写得比剧本好。
盘面同样幽默。链停着，QUBIC 24 小时涨 15%。逻辑和 Vol.9 写 ZetaChain 杀链涨 66% 是同款：总量不变，被盗的钱大概率回滚或赔付，剩下的筹码反而变稀缺了。7 天还是跌 18%，市值 7230 万美元，事件前的低点没保住。
最后是行业视角。弱种子这条死法由来已久，2023 年 8 月的 Milk Sad 事件，Libbitcoin 的 bx seed 命令熵不足，90 万美元被盗。同年 Trust Wallet 浏览器插件版也栽在类似问题上。加上今年 Coldcard 和 Qubic，规律很稳定：随机数生成器是密码学系统里最不起眼也最致命的一环，出事的时候动静都很大，出事的原因都很小。普通用户能做的就一条，别在来历不明的客户端里生成助记词，硬件钱包的熵芯片存在是有原因的。
三、Balancer 的葬礼办完了
Vol.9 埋的另一个线头，这周闭环了。
Balancer 的关停提案 BIP-928，9 月 25 到 29 日投的票，99.2% 赞成，约 1720 万枚 BAL 参与投票。同时挂着的分叉提案 BIP-929 被拒，社区明确选了体面退场而不是换个马甲续命。
时间表定下来了。池子正常运行到 10 月 30 日，然后转只允许提取，不能新增流动性。国库至少 900 万美元按比例分给销毁 BAL 的持有者，第一轮赎回 2027 年 5 月开始，估算每枚 BAL 能拿回约 16 美分。曾经的 DeFi 蓝筹，清算价一毛六。
从 Vol.9 写 ZetaChain 到这周 Balancer 落槌，一个月内两条老牌协议用投票结束了自己。这个趋势值得单独记一笔：2021 届的代币项目正在成建制地进入清算期，有国库的还能给持有者分点残值，没国库的直接归零。区别不在技术，在治理里还剩多少钱。
四、8 万美元的拉锯
市场面这周就一个画面：8 万美元关口。
BTC 截至发文报 82,203 美元，7 天微跌 0.56%，但周内一度跌破 80,000，又拉了回来。恐惧贪婪指数 59，贪婪，总市值 2.74 万亿，BTC 市占率 60.2%。
资金面在退潮。美国现货 BTC ETF 上周净流出约 6.81 亿美元，三周连续流入被打断。接下来一周排着五个美国宏观数据，Fed 的利率决定也在路上，10 月的期权到期和 ETH 的 Hoodi 升级都挤在这个月，波动率不会小。
Vol.9 说 50 周均线是投票机不是保证书，这周的走势算是第一次验票：破位没破成，但也没站稳。8 万到 8 万 3 之间晃了一整周，方向感要等宏观给。链周志的规矩是不猜方向，只记位置：贪婪指数 59，ETF 在流出，价格在关口上沿。
尾声
其余值得记下的：
- Qubic 事件的技术报告官方承诺在恢复方案定稿后发布，Computors 的投票结果值得盯，回滚交易如果成真，会是「链停了然后账本倒回去」的罕见实操案例
- MEXC 冻结了 12.9% 的赃款流入账户，XT 也暂停了 QUBIC 充提。交易所这次反应都很快，一小时级别，比多数被黑项目的追损速度快
- 弱种子受害者自查方式：看你的助记词是不是在 iPhone/iPad 浏览器、Mac Safari 或 2025 年 7 月前的 iOS 应用里生成的。是的话，开新钱包转币，别等
- Coldcard 8 月 20 日的新固件强制用户自己贡献熵，方向是对的。钱包行业在补课，课费是用户的币交的
链没有黑，只是不转了。钥匙没有偷，只是从来没锁对过。这一周的关键词是「熵」，系统最怕的不是攻击者太强，是随机数不够随机。Qubic 去年用 51% 的算力告诉 Monero 什么叫中心化风险，这周用一个 JS 函数告诉我们什么叫低级错误，两者在链上等价。下一个暂停的链会是谁，悬念继续挂账。
本文事实据 Qubic 官方 X 声明、crypto.news、CoinDesk、ForkLog、Balancer 治理论坛、CoinMarketCap 等公开来源，行情数据截至发文，观点为作者个人判断，不构成投资建议。