Qubic ha rimesso online la propria blockchain dopo aver temporaneamente sospeso la rete per contenere una falla di sicurezza che ha consentito ad attaccanti di rubare QU token per un valore di circa 1,4 milioni di dollari da 1.404 account. Il progetto di layer 1 ha inoltre aperto un processo di recupero per gli utenti coinvolti, con domande accettate fino al 1° maggio 2027.

Le pause coordinate seguite da riavvii approvati dai validatori sono rare tra le reti di layer 1, dove la finalità on-chain tipicamente lascia alle vittime di furti poco margine di ricorso. È proprio questo che rende degna di nota l'ampiezza di questa risposta — un arresto completo, fondi messi in sicurezza in escrow e un processo formale di reclamo.

L'elaborazione è ripresa alle 20:00 del 19 ottobre, con la catena che ha superato il tick 85.371.949, il punto in cui le operazioni erano state bloccate dopo l'incidente di sicurezza. Secondo il progetto, la sospensione è stata una misura di contenimento intesa a limitare l'ulteriore movimento dei fondi rubati mentre il team affrontava la vulnerabilità e sviluppava un piano diupero. Il numero di tick offre agli osservatori un punto di riferimento verificabile su dove esattamente la catena si è fermata e ha ripreso a funzionare.

I validatori della rete, noti come Computors, hanno approvato il piano di recupero e lanciato una piattaforma dedicata ai reclami tramite la quale i titolari di wallet coinvolti possono verificare la propria idoneità e presentare le domande. Il termine esteso offre agli utenti coinvolti diversi mesi per verificare i propri account e completare le procedure richieste. Poiché l'arresto ha consentito di trasferire i fondi interessati in un escrow protetto anziché lasciarli esposti, un processo di reclamo strutturato è diventato possibile.

Come i seed prevedibili hanno portato al furto

Al centro dell'incidente vi erano seed di wallet prevedibili generati da versioni vulnerabili del software web wallet di Qubic. I seed sono fondamentali per la sicurezza dei wallet perché contribuiscono a produrre le chiavi crittografiche che controllano e autorizzano le transazioni che coinvolgono asset digitali.

Secondo il progetto, la falla riguardava i seed creati tramite il web wallet su determinati dispositivi e browser Apple. Un generatore di numeri casuali non sicuro poteva produrre seed prevedibili, consentendo potenzialmente agli attaccanti di ricavare le credenziali del wallet e accedere ai fondi senza autorizzazione. L'impatto a valle ne deriva direttamente: ogni chiave derivata da un wallet eredita la qualità della casualità di partenza, quindi un'entropia debole alla creazione compromette tutto ciò che vi si costruisce sopra.

La debolezza ha sollevato preoccupazioni sui wallet creati con il software interessato, poiché la generazione di seed imprevedibili è fondamentale per proteggere le criptovalute. Se un attaccante può riprodurre il seed di un wallet, i fondi che esso controlla possono essere a rischio anche se il legittimo titolare non ha mai divulgato alcuna credenziale.

Qubic ha messo in pausa la propria catena per limitare le possibili conseguenze e impedire ulteriori movimenti degli asset compromessi mentre erano in corso i lavori di remediation. Le operazioni di rete sono state ripristinate dopo che i validatori hanno approvato gli accordi di recupero.

Mentre la rete era ferma, i fondi interessati sono stati trasferiti in un escrow protetto invece di restare esposti. Questo ha reso possibile il recupero. Il quorum lo ha approvato, e la rete ha ripreso il normale funzionamento.

— Qubic (@Qubic) 20 ottobre 2026

Gli utenti invitati a creare nuovi wallet

Qubic ha dichiarato di aver risolto la vulnerabilità nella versione 4.26.4 del web wallet, rilasciata il 19 ottobre. Il solo aggiornamento,tavia, non elimina il rischio legato ai wallet creati con versioni precedenti del software.

Il progetto ha invitato gli utenti che hanno creato wallet con versioni precedenti del web wallet a considerare tali wallet insicuri, ad aggiornare alla versione 4.26.4 o successiva, a creare nuovi wallet e a trasferire i fondi residui il prima possibile.

La cautela è giustificata perché l'aggiornamento del software del wallet potrebbe non modificare il seed o le credenziali crittografiche sottostanti di un wallet esistente. Creare un nuovo wallet e trasferirvi gli asset aiuta gli utenti a evitare di continuare a fare affidamento su credenziali che la vulnerabilità potrebbe aver esposto.

Gli utenti sono inoltre invitati a verificare di utilizzare i servizi autentici di wallet e recupero del progetto prima di inserire informazioni sensibili o spostare fondi. Poiché le transazioni in criptovalute sono generalmente difficili da annullare, un'attenta verifica è essenziale durante qualsiasi incidente di sicurezza — in particolare in questo momento, dato che portali di recupero falsi e account di impersonificazione seguono abitualmente le violazioni critto di alto profilo.

Processo di recupero e implicazioni per la sicurezza

La piattaforma di reclamo offre ai titolari coinvolti un canale formale per verificare se i propri indirizzi wallet sono stati interessati e presentare domande nell'ambito del piano di recupero approvato. Il progetto ha chiesto agli utenti di seguire le istruzioni ufficiali e completare il processo prima del termine del 1° maggio 2027. Da qui in avanti, gli aspetti pratici da monitorare sono la scadenza stessa delle domande e ogni ulteriore dettaglio pubblicato su come i reclami saranno valutati e liquidati.

L'episodio illustra come le debolezze nella generazione dei wallet possano causare danni anche quando la blockchain sottostante resta operativa. Seed crittografici prevedibili possono compromettere la sicurezza dei wallet ed esporre gli asset digitali ad accessi non autorizzati.

Per Qubic, riportare la rete online affronta solo una parte del problema. Il processo di recupero, le indicazioni per la migrazione dei wallet e la correzione della falla del generatore di numeri casuali sono altrettanto centrali per limitare ulteriori perdite e ricostruire la fiducia degli utenti.

Il progetto non ha indicato nell'annuncio se tutti i fondi rubati possano essere recuperati. Gli utenti coinvolti dovrebbero quindi distinguere tra la presentazione di un reclamo e l'effettivo ricevimento del rimborso, poiché l'esito dipenderà dai termini e dall'attuazione del piano di recupero.

L'incidente sottolinea in definitiva l'importanza di una generazione sicura di numeri casuali, di aggiornamenti software tempestivi e di una migrazione proattiva dei wallet ogni volta che vulnerabilità minacciano la sicurezza delle chiavi private negli ecosistemi blockchain.