Qubic ha riavviato la propria blockchain dopo che un attaccante ha svuotato 1.404 wallet di quasi 1,3 milioni di dollari in token QU, un incidente che ha costretto la rete a uno spegnimento d'emergenza e ha posto al centro delle conseguenze gli strumenti wallet del progetto — e non il suo livello di consenso.

L'attacco del 18 ottobre ha visto il furto di circa 2.940 miliardi di token QU in meno di due ore. I validatori di Qubic, noti come Computors, hanno interrotto le transazioni al tick 85.371.949 per prevenire ulteriori perdite. Qubic è una piattaforma di smart contract proof-of-work in cui lo stato della rete avanza in intervalli discreti noti come tick, e i Computors svolgono l'attività di rete e coordinano le decisioni tramite voti di quorum. Proprio la capacità di fermare l'attività attraverso il quorum ha fornito alla rete un freno d'emergenza una volta scoperto il furto.

La sera del 19 ottobre la blockchain era di nuovo in grado di elaborare transazioni. Il 20 ottobre Qubic ha dichiarato che i suoi validatori avevano approvato un piano di recupero, aperto un portale per le richieste di risarcimento e iniziato a pagare le vittime verificate.

The Qubic network is live again. The Computor quorum approved the recovery, the reclaim platform is open, and the first funds have already gone back to verified owners. Here's what's new and what you need to do. pic.twitter.com/2pIM0IfiFB

— Qubic (@Qubic) October 20, 2026

Come i wallet sono stati esposti

Il ladro non ha violato la blockchain di Qubic. L'attaccante ha invece sfruttato seed di recupero dei wallet deboli — le stringhe segrete di caratteri generate alla creazione del wallet che donano ai proprietari l'accesso completo ai propri fondi. Chi possiede il seed controlla il wallet, a prescindere da qualsiasi password, ed è per questo che seed prevedibili possono aggirare ogni altro livello di protezione del wallet.

Le versioni precedenti del software wallet di Qubic si affidavano a un generatore di numeri casuali non sufficientemente sicuro, il che rese alcuni seed di recupero prevedibili. La vulnerabilità ha riguardato i wallet creati tramite browser su iPhone e iPad, Safari su Mac e versioni precedenti dell'app iOS di Qubic — i percorsi di creazione che condividevano il generatore debole. Gli attaccanti potevano potenzialmente ricostruire questi seed e ottenere l'accesso senza conoscere la password del proprietario.

Qubic ha dichiarato di aver risolto il problema nella versione 4.26.4 del wallet, rilasciata intorno al 19 ottobre. L'aggiornamento ha sostituito il generatore debole con un metodo più sicuro.

Tuttavia, l'aggiornamento del software non ripara un seed di recupero vecchio. Chiunque abbia creato un wallet con il software interessato creare un nuovo wallet e spostarvi i propri fondi. Semplicemente aprire il vecchio wallet su un altro dispositivo non lo rende sicuro.

Fondi rubati congelati mentre si aprono le richieste di rimborso

Il piano di fuga del ladro si è bloccato quando Qubic ha fermato la propria rete, impedendo alla maggior parte del bottino di lasciare la blockchain. Circa l'87,1% dei token rubati è rimasto intrappolato sulla blockchain, mentre l'exchange di criptovalute MEXC ha congelato un account che conteneva il restante 12,9%. Qubic ha quindi collocato i fondi on-chain interessati in un deposito fiduciario protetto, così che i validatori potessero restituirli ai proprietari verificati.

Le vittime possono presentare richieste tramite il portale di recupero ufficiale di Qubic fino al 1° maggio 2027. I richiedenti devono fornire l'identità del wallet interessato e un wallet di destinazione appena generato, insieme a un messaggio di proprietà firmato e a prove documentali. Le richieste approvate affrontano un periodo di contestazione di sette giorni prima del pagamento.

Il recupero dei fondi trattenuti presso MEXC dipende dall'exchange e da eventuali procedimenti delle forze dell'ordine. Questo lascia il 12,9% trattenuto off-chain come la parte del bottino il cui destino resta incerto, mentre la quota on-chain torna ai proprietari verificati tramite il deposito fiduciario e il processo di richieste di rimborso.

Qubic ha inoltre avvisato gli utenti riguardo alle truffe di recupero. Il team ha dichiarato che un legittimo aiuto al recupero non richiede mai la consegna di un seed del wallet né il pagamento di una commissione. Per gli utenti coinvolti, i passi necessari sono semplici: presentare una richiesta tramite il portale ufficiale, generare un nuovo wallet e non condividere mai un seed esistente con chiunque offra assistenza.

I pagamenti alle vittime verificate sono iniziati il 20 ottobre, e la finestra per le richieste resta aperta fino al 1° maggio 2027.

Fonte: Blockonomi