Qubic ha sospeso la sua blockchain dopo che un attacker ha svuotato 1.404 wallet contenenti circa 2.94 trilioni di token QU, del valore di circa 1,3 milioni di dollari, sfruttando seed di wallet prevedibili generati tramite software vulnerabile.

Il furto è avvenuto tra le 23:42 UTC del 17 ottobre e le 01:26 UTC del 18 ottobre 2026. I Computor di Qubic hanno coordinato un arresto emergency della rete al tick 85.371.949, interrompendo ulteriori transazioni mentre il team di sviluppo analizzava i wallet interessati. Il team ha comunicato lo spegnimento tramite un post ufficiale su X.

Gli sforzi di contenimento hanno retto in gran parte. Circa l'87,1% dei token rubati è rimasto sulla rete sospesa, mentre il restante 12,9% è arrivato all'exchange di criptovalute MEXC, che ha congelato l'account di ricezione. I fondi sono ora immobilizzati, anche se il loro eventuale recupero e la relativa distribuzione restano irrisolti.

Seed deboli hanno esposto oltre 1.400 account

L'attacker ha sfruttato una casualità insufficiente nella generazione dei seed di recupero dei wallet, lasciando le chiavi private risultanti vulnerabili alla previsione. Poiché un seed di recupero funge da credenziale radice da cui un wallet deriva le proprie chiavi private, una debolezza nella fase di generazione mette a rischio ogni indirizzo controllato da quelle chiavi. Gli ambienti interessati includono qualsiasi browser in esecuzione su iPhone o iPad prima del 18 2026, Safari su macOS prima della stessa data e l'applicazione iOS di Qubic prima di luglio 2025.

La vulnerabilità riguardava la generazione dei seed del wallet e non le regole di consenso o di validazione delle transazioni sottostanti di Qubic. Gli indirizzi creati con seed prevedibili rimanevano esposti anche quando i loro proprietari non avevano interagito di recente con applicazioni malevole o firmato transazioni sospette.

La debole casualità nella creazione dei seed è una modalità di guasto già emersa nel settore. La vulnerabilità del wallet Ill Bloom ha esposto indirizzi di criptovalute tramite casualità insufficiente durante la creazione della frase di recupero, mentre una separata vulnerabilità Coldcard ha coinvolto hardware wallet che generavano seed Bitcoin insufficientemente sicuri.

I registri dei wallet interessati di Qubic identificano 2.939.606.531.944 QU trasferiti verso sette indirizzi di raccolta durante l'incidente. I wallet creati tramite gli ambienti vulnerabili restano potenzialmente compromessi, anche se non sono stati inclusi nei furti identificati.

Qubic rilascia la versione 4.26.4 per correggere la generazione dei seed

Il 18 ottobre Qubic ha rilasciato la versione 4.26.4 del wallet, pubblicata su GitHub, introducendo una correzione al processo di generazione dei seed. La patch di sicurezza sostituisce la funzione Math.random() di JavaScript con crypto.getRandomValues(), offrendo casualità crittograficamente sicura per i seed di wallet generati da nuovo, come dettagliato nel commit associato. Math.random() è il generatore pseudocasuale generico di JavaScript e non è progettato per usi critici per la sicurezza, mentre crypto.getRandomValues() attinge dalla fonte di casualità crittografica sottostante.

L'implementazione aggiornata rifiuta inoltre determinati valori di byte casuali per eliminare lo squilibrio statistico nella conversione dei dati casuali nei seed di 55 caratteri utilizzati da Qubic.

La correzione protegge i seed generati da nuovo ma non mette in sicurezza i wallet creati con il metodo vulnerabile. Gli utenti coinvolti necessitano di nuovi wallet con seed generati in modo sicuro e devono trasferire gli eventuali asset residui non appena le transazioni di rete riprendono e il team fornirà le istruzioni per la migrazione. Qubic ha inoltre messo in guardia gli utenti dalle offerte di recupero non richieste e dalle richieste di seed del wallet o chiavi private.

I Computor decideranno il recupero mentre la rete resta congelata

La risposta emergency di Qubic ha impedito che la maggior parte dei fondi rubati uscisse dalla propria rete, mentre MEXC ha immobilizzato la trattenuta sull'exchange. Il cluster dei Computor determinerà le prossime azioni di recupero tramite le procedure di governance della rete.

L'incidente è giunto poco dopo lo sfruttamento del bridge di Cysic, che ha permesso a un attacker di emettere 10 milioni di token CYS non autorizzati e di trasferire circa 727.000 dollari in proventi su Ethereum prima della sospensione del bridge.

Qubic sta identificando ulteriori indirizzi potenzialmente esposti e valutando come proteggere i saldi rimanenti prima di ripristinare le normali operazioni. Il sistema di staking QEARN risulta non aver subito danni, anche se l'elaborazione delle transazioni a livello di rete resta sospesa.

Gli exchange hanno inoltre limitato i trasferimenti di QU mentre l'incidente resta irrisolto, impedendo ulteriori depositi e prelievi attraverso le piattaforme interessate.

Qubic prevede di pubblicare un rapporto tecnico completo dopo la definizione dell'approccio di recupero. Il quorum dei Computor non ha annunciato una decisione finale sui compensi né una data confermata per il riavvio della rete.

Fonte: Crypto Adventure