Qubic ha sospeso le operazioni della sua blockchain dopo che un attaccante ha sfruttato seed di recupero dei wallet generati in modo debole per rubare circa 1,4 milioni di dollari in criptovalute. La violazione della sicurezza ha coinvolto 1.404 wallet e ha portato al furto di quasi 2.94 trilioni di token Qubic (QU).

I seed di recupero rappresentano la credenziale principale da cui un wallet crittografico deriva le proprie chiavi: è per questo che una casualità debole in fase di generazione può rendere tali credenziali prevedibili per un attaccante.

La rete ha interrotto le transazioni il 18 ottobre 2026, nel tentativo di impedire qualsiasi ulteriore movimento dei fondi rubati. Secondo Qubic, l'87,1% dei fondi rubati resta congelato sulla sua blockchain, mentre l'exchange di criptovalute MEXC ha messo in sicurezza il restante 12,9%.

Seed debole dei wallet identificati come causa principale

Qubic ha fatto risalire l'incidente a un'insufficiente casualità nel processo di generazione dei seed dei wallet. La vulnerabilità ha permesso all'attaccante di prevedere determinate credenziali dei wallet e di ottenere accesso non autorizzato ai fondi degli utenti.

Le indagini del progetto hanno rilevato che il problema era confinato ai wallet creati tramite specifici dispositivi e applicazioni Apple. Erano esposti i wallet generati tramite browser iPhone e iPad prima del 18 ottobre 2026, così come quelli creati dagli utenti di Safari su computer Mac. Anche le versioni precedenti dell'applicazione iOS di Qubic presentavano la vulnerabilità. Poiché l'esposizione è definita da piattaforma e data di creazione, gli utenti possono valutare il proprio rischio in base a dove e quando i loro wallet sono stati generati.

Il team ha sottolineato che la debolezza aveva origine nella generazione dei seed dei wallet e non nel protocollo sottostante della blockchain. Il team di sviluppo ha risolto il problema nella versione 4.26.4 del software wallet, che ha sostituito il metodo non sicuro di generazione dei numeri casuali con un'alternativa crittograficamente sicura. Il software corretto protegge i wallet di nuova creazione, mentre le misure di recupero attualmente in esame si applicano ai wallet generati prima della correzione.

MEXC blocca i rest fondi rubati

Dopo l'attacco, Qubic ha coordinato uno spegnimento di emergenza della rete al tick 85,37,949, il checkpoint che marca esattamente il punto in cui il ledger si è fermato. La sospensione ha bloccato tutte le transazioni successive e ha limitato la capacità dell'attaccante di trasferire i beni rubati — una misura di contenimento che mette in pausa l'attività di tutti gli utenti, non solo dell'attaccante.

Circa 2.56 trilioni di token QU restano congelati all'interno della rete Qubic. Nel frattempo, l'attaccante ha trasferito circa 379 miliardi di token QU su MEXC prima che l'exchange congelasse l'account di destinazione, una restrizione che la piattaforma avrebbe imposto entro circa un'ora. Quel trasferimento corrisponde alla quota del 12,9% ora sotto il controllo di MEXC, mentre gli altri 2.56 trilioni di QU non hanno mai lasciato la catena di Qubic.

La risposta coordinata ha contenuto i fondi rubati riportati, anche se il loro eventuale recupero rimane incerto.

Il voto dei validator determinerà il piano di recupero

I validator della rete di Qubic, noti come Computors, decideranno i passi successivi attraverso un voto di governance. Il team di sviluppo sta esaminando i wallet coinvolti e preparando potenziali misure di recupero da sottoporre a valutazione.

Qubic non ha annunciato una tempistica confermata per il ripristino delle normali operazioni blockchain. Il progetto prevede inoltre di pubblicare un rapporto tecnico completo una volta finalizzata la strategia di recupero. I segnali da monitorare da qui in avanti sono l'esito del voto dei Computor, qualsiasi annuncio sulla ripresa della catena e il rapporto tecnico pianificato.

L'incidente evidenzia i rischi per la sicurezza legati ai seed di wallet crittografici prevedibili. Anche quando l'infrastruttura blockchain rimane intatta, le debolezze nel software dei wallet possono esporre gli utenti a perdite finanziarie significative.