Qubic ha interrotto le operazioni della blockchain al tick 85.371.949 domenica 18 ottobre 2026, dopo che attaccanti hanno sfruttato una vulnerabilità nel processo di generazione dei seed dei wallet, rubando 2.94 trilioni di token QUBIC per un valore di circa 1,4 milioni di dollari. La rete è rimasta in pausa al momento della redazione dell'articolo, mentre il progetto lavorava per identificare i wallet interessati e determinare come recuperare gli asset rubati. Una blockchain ferma non può elaborare nuove transazioni, lasciando l'attività on-chain sospesa fino al ripristino delle operazioni.

L'incidente ha messo in luce debolezze nel meccanismo utilizzato per creare i seed dei wallet, elementi essenziali per proteggere l'accesso alle criptovalute. Secondo Qubic, la falla riguardava i seed generati tramite browser su iPhone e iPad, Safari su computer Mac prima del 18 ottobre 2026 e l'applicazione iOS di Qubic prima di luglio 2025.

Qubic ha congelato l'87,1% dei fondi rubati sulla propria rete, mentre il restante 12,9% è stato bloccato sull'exchange di criptovalute MEXC, limitando la capacità degli attaccanti di spostare gli asset. I congelamenti coordinati fanno sì che la maggior parte del saldo rubato non possa attualmente essere spostata dagli attaccanti. Il progetto non ha annunciato una data per la ripresa delle operazioni della blockchain; le sue priorità immediate sono mettere in sicurezza i wallet interessati, valutare le opzioni di recupero e prevenire ulteriori sfruttamenti.

Qubic sostituisce il generatore di numeri casuali vulnerabile

Qubic ha dichiarato di aver corretto la falla nella generazione dei seed nell'ultima versione del suo web wallet. Un commit su GitHub associato alla versione 4.26.4 mostra che il progetto ha sostuito la funzione Math.random() di JavaScript con crypto.getRandomValues() durante la creazione dei seed. La pubblicazione pubblica della correzione su GitHub rende la modifica verificabile in modo indipendente. La correzione si applica ai seed generati da quel momento in poi, mentre i wallet creati in precedenza tramite i canali interessati rientrano nella revisione attualmente in corso.

La modifica è significativa perché la sicurezza dei wallet dipende dalla generazione di valori crittografici imprevedibili. Math.random() è progettata per la generazione pseudocasuale di uso generale piuttosto che per la sicurezza crittografica, rendendola inadatta alla produzione di credenziali sensibili per i wallet. Al contrario, crypto.getRandomValues() fornisce accesso a valori casuali crittograficamente sicuri supportati dai browser moderni.

Se gli attaccanti possono prevedere o riprodurre il materiale del seed di un wallet, potrebbero riuscire a ricavare le credenziali di accesso e prendere il controllo dei fondi associati. La sostituzione del generatore di numeri casuali vulnerabile con un metodo crittograficamente sicuro affronta la debolezza identificata ed è destinata a rafforzare la protezione dei wallet generati da ora in avanti. Gli utenti i cui wallet sono stati creati tramite le piattaforme e i periodi interessati potrebbero dover verificare se le proprie credenziali rimangono sicure.

I Computor della rete decideranno il piano di recupero

Il team principale di Qubic sta identificando i wallet interessati e preparando potenziali misure di recupero per un futuro voto dei Computor della rete, che partecipano al processo decisionale della blockchain. Il progetto ha affrontato pubblicamente l'incidente su X:

What happened: Some wallet seeds were generated with insufficient randomness, making them weaker than they should be. The attacker exploited this to access the affected wallets. The issue was in seed generation, not in the Qubic protocol itself.

— Qubic (@Qubic), October 18, 2026

Il voto dovrebbe determinare come gestire i fondi congelati. Tuttavia, il progetto non ha ancora reso note le opzioni di recupero disponibili né stabilito una tempistica per la decisione. Finché un piano non sarà approvato, i saldi congelati resteranno immobilizzati sulla rete e sull'exchange. Qubic prevede inoltre di pubblicare un rapporto tecnico completo dopo la finalizzazione di un piano di recupero; il rapporto dovrebbe fornire ulteriori dettagli sulla vulnerabilità e sulle conseguenze dell'incidente.

La sospensione sottolinea le sfide operative che i progetti blockchain affrontano quando rispondono a violazioni della sicurezza che coinvolgono credenziali di wallet e trasferimenti sostanziosi di token. Sebbene il congelamento dei fondi possa impedire l'avanzamento di alcune transazioni, il recupero degli asset rubati potrebbe richiedere misure tecniche aggiuntive e decisioni a livello di rete.

L'exploit evidenzia i rischi di sicurezza più ampi delle criptovalute

Qubic, il cui token è negoziato con il ticker QUBIC, opera come blockchain layer-1 senza commissioni che supporta transazioni e smart contract. Il suo modello di consenso, noto come Useful Proof of Work, è progettato per reindizzare le risorse di mining verso l'addestramento dell'intelligenza artificiale. Il token del progetto aveva una capitalizzazione di mercato di circa 62,6 milioni di dollari al momento della redazione, secondo CoinGecko, il che rende il valore dei token rubati pari a poco più del 2% di tale cifra.

L'attacco riflette anche preoccupazioni più ampie riguardo al furto di criptovalute derivante da debolezze nella sicurezza dei wallet. Secondo il rapporto sulle indagini 2026 di AMLBot, che copre 250 indagini aperte dall'inizio dell'anno, gli hack e gli exploit hanno rappresentato il 19% dei casi di criminalità legata alle criptovalute nel terzo trimestre, ma il 40% delle perdite segnalate — un divario che mostra come tali incidenti, pur costituendo una minoranza dei casi, comportino una quota sproporzionata dei danni finanziari.

L'incidente di Qubic dimostra come una vulnerabilità in un componente di sicurezza fondamentale possa esporre asset digitali anche quando la blockchain sottostante non è la fonte diretta della debolezza. I prossimi passi della rete dipenderanno dal voto sul recupero, dall'efficacia delle misure di risanamento e dal completamento dell'indagine tecnica.

Questo articolo è apparso originariamente su CoinTrust.