Qubic è ufficialmente di nuovo operativo. Il team ha avviato il processo di recupero a seguito della recente vulnerabilità nella generazione dei seed che ha drenato 1,4 milioni di dollari in QU da circa 1.400 wallet, e ha introdotto un portale per le richieste attraverso il quale i titolari di wallet interessati possono presentare richieste di recupero dei fondi.

Secondo Qubic Explorer, la blockchain ha ripreso l'elaborazione dei tick alle 20:00 UTC del 19 ottobre. La rete sta ora elaborando transazioni oltre il tick 85.371.949, dopo lo spegnimento d'emergenza di domenica.

Il portale per le richieste aperto fino a maggio 2027

Qubic ha incoraggiato gli utenti interessati a presentare richieste per ripristinare i fondi verso identità sicure. Il team ha spiegato che il computor quorum sarà responsabile di tutte le decisioni relative al recupero e dell'attuazione delle azioni corrispondenti. Gli utenti hanno tempo fino al 1° maggio 2027 per presentare le richieste tramite il portale ufficiale per le richieste, una finestra di oltre sei mesi dalla ripresa della rete del 19 ottobre.

La piattaforma ha assicurato agli utenti che, mentre la blockchain non era disponibile, i fondi sono stati trasferiti in un wallet di deposito a garanzia sicuro. Tale trasferimento è diventato la base per un recupero riuscito. Tuttavia, il progetto ha avvertito che qualsiasi web wallet creato prima dell'aggiornamento alla versione 4.26.4 del 19 ottobre non è sicuro.

"È fondamentale aggiornare il tuo wallet, trasferire tutti i tuoi asset al nuovo indirizzo sicuro e smettere definitivamente di usare i vecchi wallet", ha dichiarato il team.

L'attaccante si è appropriato di 2.94 trilioni di QU da 1.404 wallet. Secondo la rete, l'hack è derivato da una debolezza nella generazione dei seed rather che dal protocollo Qubic stesso. "L'incidente è avvenuto perché questi seed sono deboli. Ciò significa che l'attaccante può produrre la stessa firma valida che puoi produrre tu", ha affermato il progetto in un post su X. Qubic ha da allora confermato che il difetto nella generazione dei seed è stato risolto nell'ultima versione del suo web wallet.

Parallelismi con la violazione di Coldcard

L'incidente richiama passate violazioni della sicurezza in cui difetti nella generazione della casualità hanno lasciato i wallet crittografici vulnerabili agli attchi. Alla fine di luglio, gli hacker hanno sfruttato una vulnerabilità di configurazione del firmware nel Coldcard di Coinkite, riconducibile a marzo 2021, per rubare Bitcoin agli utenti.

L'hacking è stato condotto in quattro ondate separate di transazioni fraudolente. È iniziato il 30 luglio 2026, quando l'hacker ha rubato 594 BTC — quasi 38 milioni di dollari — in soli 25 minuti. La minaccia alla sicurezza ha sfruttato una debolezza nella generazione dell'entropia hardware dei wallet interessati.

Nello specifico, un bug nel firmware Coldcard versione 4.0.1, rilasciato a marzo 2021, ha compromesso l'algoritmo di generazione del seed, portando alla creazione di frasi di recupero a bassa entropia. Di conseguenza, i wallet configurati con quel firmware generavano chiavi private deboli, facilmente violabili offline. Il difetto nella progettazione del setup ha causato un collasso completo della sicurezza crittografica, riducendo lo spazio delle chiavi da 128 bit a soli 40 bit su hardware obsoleto. Secondo una ricerca di Galaxy, le perdite totali si attestano su circa 1.816 BTC — quasi 116 milioni di dollari — distribuiti su 5.200 indirizzi diversi.

Settembre ha visto due importanti exploit crittografici

La società di sicurezza blockchain PeckShield ha documentato 55 exploit importanti a settembre, con perdite aggregate vicine a 766,5 milioni di dollari — un aumento del 462% rispetto al totale di agosto di 136,3 milioni di dollari. La maggior parte delle perdite proviene dall'hack dell'exchange Bitget, del valore di 387 milioni di dollari, e dalla violazione della Liquid Network, del valore di 320 milioni di dollari, sebbene Liquid abbia successivamente visto la restituzione di 285 milioni di dollari.

Secondo Gracy Chen, CEO di Bitget, l'attacco ha coinvolto un aggressore che ha manipolato i dati delle transazioni di backend per aggirare il processo di autorizzazione. L'azienda coprirà i danni attraverso il suo User Protection Fund, che detiene un saldo superiore a 464 milioni di dollari. Per quanto riguarda l'incidente della Liquid Network, 4.000 BTC sono stati prelevati illegalmente.

L'incidente di Qubic si aggiunge a una lista crescente di fallimenti della sicurezza che colpiscono gli utenti crittografici, gli exchange e i fornitori di wallet. Sebbene le cause e l'entità di queste violazioni varino, evidenziano l'importanza di una generazione sicura delle chiavi, di una risposta rapida agli incidenti e di procedure di recupero trasparenti. Mostrano anche quanto diversamente possano svilupparsi i risarcimenti: un fondo di protezione dedicato presso Bitget, una restituzione parziale dei fondi presso Liquid e un processo di richieste garantito da deposito a garanzia presso Qubic.

Per Qubic, la priorità immediata è elaborare le richieste assicurando al contempo che gli utenti migrino verso identità di wallet sicure. Il volume delle richieste presentate prima della scadenza del 1° maggio 2027 e le decisioni del computor quorum su di esse determineranno quanto valore rubato potrà essere recuperato e con quanta efficacia la rete riuscirà a ripristinare la fiducia degli utenti.