Qubic ha sospeso la propria rete dopo che un attaccante ha sfruttato seed di wallet generati in modo debole per svuotare 1.404 wallet di circa 2.940 miliardi di QU in un incidente di sicurezza avvenuto tra il 17 e il 18 ottobre. Secondo il progetto, la causa principale è stata un'insufficiente casualità nella generazione dei seed — un problema che, ha dichiarato, non riguardava il protocollo Qubic in sé. Questa distinzione definisce la risposta: la correzione arriva come rilascio software per la generazione dei seed, mentre il destino dei fondi rubati passa per l'halt protettivo, i congelamenti lato exchange e il processo di governance della rete stessa.

Il progetto ha reso noto l'incidente con un post su X il 18 ottobre, il giorno successivo all'inizio dell'attacco:

Aggiornamento sull'incidente di sicurezza.

Tra le 23:42 UTC del 17 ottobre e le 01:26 UTC del 18 ottobre, un attaccante ha svuotato 1.404 wallet Qubic, per un totale di circa 2.940 miliardi di QU.

Ecco cosa è successo, cosa è stato fatto e quali sono i prossimi passi.

— Qubic (@Qubic) 18 ottobre 2026

Rete bloccata al tick 85.371.949

Secondo il post di Qubic, l'attacco si è svolto tra le 23:42 UTC del 17 ottobre e le 01:26 UTC del 18 ottobre, con i fondi prelevati da 1.404 wallet distinti in tale finestra temporale. L'elaborazione delle transazioni è stata interrotta dai Computor della rete, che hanno stabilito un halt protettivo al tick 85.371.949 — il punto in cui, si sostiene, si è verificato l'incidente Questa azione ha limitato la capacità dell'attaccante di spostare liberamente gli asset rubati.

Qubic ha dichiarato che l'87,1% dei QU drenati non ha mai lasciato la rete ed è rimasto bloccato on-chain. Il restante 12,9% è stato inviato allo exchange di criptovalute MEXC, che ha congelato il wallet di destinazione circa un'ora dopo aver ricevuto una chiamata, secondo il progetto. Anche altri exchange sono stati avvisati e hanno sospeso depositi e prelievi di QUBIC. Questa ripartizione rende la collaborazione degli exchange centrale per il recupero — con la maggior parte dei QU immobili on-chain e la quota diretta a MEXC congelata, il destino dei fondi dipende dal mantenimento di questi congelamenti mentre il quorum valuta la decisione.

La debole casualità dei seed individuata come causa principale

Qubic ha ricondotto l'exploit alla mancanza di casualità nei seed dei wallet. Le versioni interessate sono: tutti i seed generati prima del 18 ottobre 2026; i seed creati in Safari su Mac prima della stessa data; e i wallet generati tramite l'app iOS di Qubic fino a luglio 2025.

La versione 4.26.4 corregge il problema di generazione dei seed

Il problema è stato risolto nella versione 4.26.4, quindi con tale release non verranno generati seed deboli, ha detto il progetto — garantendo che i nuovi wallet creati non porteranno la stessa vulnerabilità. Il team Core di Qubic ha ora iniziato a identificare tutti i wallet interessati ed è pronto ad adottare le misure necessarie per recuperarli. Secondo le regole di governance della rete Qubic, la decisione finale sui fondi congelati spetta al quorum dei Computor. Il team sta inoltre condannno un sondaggio della community su Discord per comprendere meglio il sentiment dei Computor prima di presentare una proposta di recupero.

Il processo di recupero passa al quorum dei Computor

Qubic non ha ancora annunciato quando riprenderà l'elaborazione normale delle transazioni, lasciando per ora in vigore l'halt protettivo. Nel frattempo, agli utenti interessati è stato chiesto di segnalare l'incidente alle forze dell'ordine o alle autorità preposte alla cybercriminalità, fornendo il proprio wallet ID, l'importo perso e i link alle transazioni pertinenti nell'explorer di Qubic. Il progetto ha osservato che tali segnalazioni formali potrebbero essere utili per coinvolgere gli exchange nel mantenimento dei congelamenti sui fondi correlati.

Qubic ha inoltre messo in guardia gli utenti dalle truffe di recupero, sottolineando che il suo team non contatterà mai per primo gli utenti per chiedere i seed dei wallet o offrire servizi di recupero a pagamento. Una volta che la rete avrà preso una decisione sul recupero dei QU congelati, è prevista la pubblicazione di un rapporto tecnico completo. Fino ad allora, i punti di riferimento concreti sono l'esito del sondaggio Discord sul dei Computor, la decisione del quorum sui fondi congelati, la ripresa dell'elaborazione delle transazioni e il rapporto tecnico che seguirà la decisione.

Questo articolo è basato su un report pubblicato originariamente da Crypto Ninjas.