La blockchain layer-1 Qubic ha riavviato la rete e avviato un processo di recupero dopo che una vulnerabilità nei seed dei wallet ha permesso a un attaccante di prosciugare circa 1,4 milioni di dollari in token QU da 1.404 account, secondo l'ultimo aggiornamento del progetto.

L'explorer blockchain della rete mostra che Qubic ha ripreso l'elaborazione dei tick alle 20:00 del 19 ottobre, andando oltre il tick 85.371.949, dove la catena era stata fermata domenica.

I Computors approvano il piano di recupero

Qubic ha dichiarato che i validatori della rete, noti come Computors, hanno approvato un piano di recupero, e il progetto ha lanciato una piattaforma per le richieste destinata ai titolari di wallet interessati. Gli utenti coinvolti possono verificare il proprio indirizzo e presentare una richiesta tramite la piattaforma di reclamo di Qubic, e hanno tempo fino al 1° maggio 2027 per presentarla, secondo il progetto — un termine che offre ai titolari interessati più di un anno per verificare l'idoneità e inviare la domanda.

La catena era stata fermata domenica per impedire ogni ulteriore movimento dei fondi rubati, dopo che gli attaccanti avevano sfruttato seed di wallet prevedibili generati da un software wallet vulnerabile.

Seed prevedibili dovuti a casualità non sicura

La vulnerabilità riguardava i seed dei wallet generati utilizzando il web wallet di Qubic su alcuni dispositivi e browser Apple, dove un generatore di numeri casuali non sicuro poteva produrre seed prevedibili. Il seed di un wallet è valore principale da cui derivano le chiavi private e gli indirizzi di un utente; se la sua generazione è prevedibile, un attaccante può riprodurlo e sbloccare i fondi senza mai accedere al dispositivo della vittima. Questo è il meccanismo alla base del prosciugamento di massa — ed è il motivo per cui la vulnerabilità riguardava anche gli account che l'attaccante non aveva mai toccato. Qubic ha dichiarato domenica che il difetto nella generazione dei seed era stato corretto nell'ultima versione del suo web wallet.

In un post su X di martedì, il team ha dichiarato: "Se hai creato il tuo wallet con il web wallet di Qubic prima della versione 4.26.4 (rilasciata il 19 ottobre), consideralo non sicuro, anche se i tuoi fondi non sono mai stati toccati".

"Aggiorna al web wallet 4.26.4 o successivo, poi crea un nuovo wallet", ha detto il team. "Sposta i tuoi fondi nel nuovo wallet il prima possibile e non usare mai più quello vecchio".

Le indicazioni vanno oltre i 1.404 account prosciugati, poiché qualsiasi seed prodotto dalla stessa casualità difettosa presenta la stessa debolezza di fondo.

Contesto: la rete di Qubic

Qubic è una rete layer-1 fondata da Sergey Ivanchlo, co-fondatore di IOTA. Il suo consenso si basa su 676 validatori noti come Computors, che pubblicano i "tick" — le unità ordinate dell'avanzamento del registro — circa ogni secondo. Il progetto ha attirato ampia attenzione nel 2025 per il suo modello di useful proof-of-work, che indirizza la potenza di mining verso l'addestramento di modelli di intelligenza artificiale.

Quello stesso insieme fisso di validatori è ciò che ha reso possibile una risposta coordinata: con il consenso nelle mani di una membership definita di Computors, la rete potrà fermarsi a un tick specifico, approvare un piano di recupero e riprendere dallo stesso punto del registro.

Correlato: Qubic blocca la catena dopo che un attaccante prosciuga 1,4K wallet con seed deboli