Qubic ha interrotto la sua blockchain layer-1 dopo che un aggressore ha prosciugato circa 1,4 milioni di dollari in token da più di 1.400 wallet utente, sfruttando seed di recupero generati con casualità debole.

La rete è stata fermata al tick 85.371.949 domenica 18 ottobre ed è rimasta in pausa fino a lunedì. Il progetto ha dichiarato che circa 2.940 miliardi di token Qubic (QU) sono stati sottratti nell'attacco.

La casualità debole ha esposto le chiavi private

Secondo il team centrale di Qubic, l'aggressore ha preso di mira i wallet i cui seed di recupero erano stati creati con casualità insufficiente, rendendo le relative chiavi private più facili da dedurre. Più debole è la casualità, più piccolo è lo spazio di chiavi possibili che un aggressore deve esplorare. I furti sono avvenuti tra le 23:42 UTC del 17 ottobre e le 01:26 UTC del 18 ottobre.

Security incident update. Between 23:42 UTC on 17 October and 01:26 UTC on 18 October, an attacker drained 1,404 Qubic wallets, totalling around 2.94 trillion QU. Here is what happened, what has been done, and what comes next. pic.twitter.com/7aPJ26lEeZ — Qubic (@Qubic) October 18, 2026

La maggior parte dei fondi rubati resta congelata

Qubic ha dichiarato che l'87,1% dei fondi rubati — circa 2.560 miliardi di token — non ha mai lasciato la sua rete ed è stato congelato sul posto. Il restante 12,9%, circa 379,26 miliardi di token, è stato inviato all'exchange di criptovalute MEXC. Il progetto ha detto che MEXC ha bloccato il conto ricevente entro circa un'ora, per poi sospendere depositi e prelievi di Qubic su richiesta del progetto. Questa ripartizione significa che la maggior parte dello sforzo di recupero passa dai processi interni della rete di Qubic, mentre la quota detenuta sull'exchange dipende dai controlli di MEXC.

L'exchange XT ha inoltre sospeso separatamente depositi e prelievi sulle reti Qubic e Kasplex il 18 ottobre, citando aggiornamenti dei wallet e manutenzione.

Qubic non ha confermato che alcun token rubato sia stato restituito ai proprietari, e non ha ancora spiegato come funzionerebbe il recupero.

La vulnerabilità era nel software del wallet, non nella catena

La vulnerabilità aveva origine nel software del wallet di Qubic e non nel protocollo della blockchain. I seed di recupero sono usati per creare le chiavi private che controllano le criptovalute detenute. Questa distinzione è importante: il protocollo in sé non è stato violato, eure i singoli asset erano comunque direttamente a rischio.

I wallet interessati includono quelli i cui seed sono stati creati con qualsiasi browser su iPhone o iPad prima del 18 ottobre 2026. Sono stati interessati anche i seed generati con Safari su Mac prima di tale data, così come i seed creati tramite l'app iOS di Qubic prima di luglio 2025.

Gli sviluppatori hanno corretto la vulnerabilità nella versione 4.26.4 del web wallet. Un aggiornamento su GitHub mostra che il team ha sostituito la funzione Math.random() di JavaScript con crypto.getRandomValues(), un'interfaccia progettata per produrre valori casuali crittograficamente sicuri. La correzione copre solo i nuovi seed dei wallet, e Qubic non ha detto se le frasi di recupero generate con il software precedente siano sicure.

Un modello di attacchi legati a seed deboli

L'incidente fa seguito ad altri casi legati a seed di wallet deboli. A luglio 2026, aggressori hanno rubato circa 594 Bitcoin, per un valore di 38 milioni di dollari, da circa 500 wallet Coldcard a causa di un bug del firmware. Nel 2023, vulnerabilità simili hanno colpito l'estensione browser di Trust Wallet e lo strumento Libbitcoin Explorer. Il problema di Libbitcoin, noto come Milk Sad, è stato collegato a più di 900.000 dollari in Bitcoin rubati.

Secondo il rapporto investigativo 2026 di AMLBot, hack ed exploit hanno rappresentato il 19% dei casi di criminalità crypto nel terzo trimestre, ma sono stati responsabili del 40% delle perdite dichiarate — una piccola quota di incidenti che genera una quota sproporzionata del denaro perso.

Informazioni su Qubic e prossimi passi

Qubic è una blockchain layer-1 che supporta transazioni e smart contract senza commissioni. Utilizza il Useful Proof of Work, un meccanismo che indirizza la potenza di mining verso l'addestramento dell'intelligenza artificiale. Il token del progetto aveva un valore di mercato di circa 62,6 milioni di dollari, secondo CoinGecko.

Il team centrale sta ora identificando i wallet interessati e preparando le opzioni di recupero. Gli operatori della rete, noti come Computor, voteranno sul destino dei fondi congelati, e finora nessun piano di recupero è stato approvato. Qubic ha dichiarato che pubblicherà un report tecnico completo una volta definito un piano, e non ha annunciato quando la rete verrà riavviata.

Fonte: Blockonomi