Truffatori che si spacciano per l'artista generativo Tyler Hobbs hanno promosso un finto mint dell'NFT QQL su X e, secondo quanto riferito, almeno una persona ha perso fondi dopo essere entrata in contatto con lo schema.

L'avviso è emerso il 20 ottobre da Quit, vicepresidente blockchain di Yuga Labs, che ha dichiarato in un post datato 19 ottobre 2026 che diversi account si stavano spacciando per Hobbs, affermando falsamente che il mint del progetto di arte generativa fosse stato riaperto.

"PSA QQL minting has not reopened", ha scritto Quit. Secondo il suo post, il portafoglio di una persona era già stato prosciugato, mentre un altro utente ha evitato una perdita simile grazie allo strumento di sicurezza Pocket Universe, che simula le transazioni in sospeso e segnala richieste potenzialmente dannose prima che gli utenti le firmino.

PSA QQL minting has not reopened. Already aware of one person who got drained and one who would've if not for pocket universe. Scammer is making several accounts impersonating Tyler Hobbs. Please do not interact.

— Quit (@0xQuit) October 19, 6

Il furto riferito non è stato verificato in modo indipendente. Non sono stati condivisi indirizzi di portafoglio, dettagli sulle transazioni né stime delle perdite.

L'asta falsa ricalca il lancio di QQL del 2022

Post su X mostrano gli impersonatori mentre promuovevano un'asta olandese di 900 QQL Mint Pass con partenza a 50 ETH. I messaggi rivendicavano legami con i creatori originali, ma i materiali ufficiali del progetto non elencano alcuna nuova asta. In un'asta olandese, il prezzo parte alto e scende fino a quando gli acquirenti assorbono l'intera offerta.

Le cifre corrispondono al lancio autentico di QQL a settembre 2022, quando Hobbs e il co-atore Dandelion Mané hanno venduto 900 pass tramite un'asta olandese partita a 50 ETH. Quella vendita si è chiusa a 14 ETH per pass ed è esaurita in meno di un'ora, raccogliendo 12.600 ETH — del valore di circa 16,7 milioni di dollari all'epoca. Poiché l'inserzione falsa riutilizza esattamente quei parametri, la corrispondenza con i numeri del 2022 non è di per sé un segno di legittimità.

QQL consente ai collezionisti di esplorare diversi output di un algoritmo generativo prima di sceglierne uno da mintare. Ogni Mint Pass può essere utilizzato una sola volta per creare un NFT ufficiale e il pass viene bruciato dopo l'uso. Secondo la documentazione del progetto, i Mint Pass non scadono, quindi i titolari esistenti possono ancora mintare opere ufficiali. L'avviso di Quit riguardava solo la falsa affermazione dell'apertura di una nuova vendita pubblica — QQL stessa non ha ripreso il mint pubblico.

Come potrebbe essere avvenuto il prosciugamento del portafoglio

Il post di Quit non ha nominato gli account falsi né incluso screenshot, e non ha precisato se la vittima abbia visitato un sito web falso, approvato un contratto dannoso o firmato un altro tipo di richiesta.

Tattiche simili sono ampiamente documentate. In un avviso di agosto 2023, l'FBI ha avvertito che i criminali si spacciano per sviluppatori di NFT per rubare criptovalute, a volte creando account social lookalike o prendendo il controllo di account reali. Questi post spesso creano un senso di urgenza e indirizzano le vittime verso siti web falsi; una volta connesso il portafoglio, gli utenti possono approvare transazioni che permettono a contratti dannosi di spostare i loro asset.

Metodi simili sono emersi in altri incidenti recenti. Il 5 ottobre, la società di sicurezza Salus ha segnalato approvazioni USDG dannose collegate a Revenue, in cui i fondi sono stati spostati nella stessa transazione che concedeva il permesso. Alcune approvazioni rimangono attive finché il proprietario del portafoglio non le revoca, il che può consentire a un contratto di spostare asset molto tempo dopo l'interazione iniziale. Strumenti come il token approval checker di Etherscan consentono ai proprietari di portafoglio di verificare e revocare le approvazioni in sospeso.

Verificare i QQL Mint Pass autentici

Negli NFT di arte generativa, la provenienza — il collegamento verificabile tra un output e il suo contratto ufficiale — è ciò che distingue un'opera autentica da una contraffatta. La documentazione di QQL elenca il contratto ufficiale del Mint Pass come 0xc73B17179BfC59cD5860Bb25247D1D1092c1088. I potenziali acquirenti possono controllare questo indirizzo su Etherscan, un block explorer pubblico di Ethereum, prima di acquistare pass sui mercati secondari. Il progetto avverte inoltre che esistono collezioni di Mint Pass contraffatte.

Al momento della pubblicazione, non è ancora chiaro esattamente come si è svolto l'attacco riferito. Qualsiasi futuro annuncio di mint in circolazione su X può essere verificato con gli stessi riferimenti: l'indirizzo del contratto ufficiale e la documentazione del progetto, insieme alla conferma che QQL non ha ripreso il mint pubblico.

Questo report è stato pubblicato per la prima volta da Blockonomi.