La società di sicurezza blockchain SlowMist ha pubblicato un'analisi che descrive una vulnerabilità in un'implementazione del wallet Qubic che potrebbe, in una condizione specifica, consentire a un attaccante di ricostruire una chiave privata a partire da sole sei osservazioni. Il rilievo solleva preoccupazioni per gli utenti del software wallet interessato e mette in discussione le ipotesi crittografiche alla base del processo di gestione delle chiavi.

Secondo il rapporto di SlowMist, la vulnerabilità si concentra su una condizione in cui una chiave privata può essere ricostruita da un attaccante che raccoglie sei osservazioni. SlowMist ha attribuito il ritrovamento al proprio team di ricerca e lo ha qualificato come una vulnerabilità a livello di wallet piuttosto che un difetto della rete Qubic stessa. I risultati pubblicati dalla società non hanno stabilito uno sfruttamento confermato.

Perché sei osservazioni definiscono il rischio centrale

L'importanza della soglia di sei osservazioni risiede in ciò che implica sul processo di generazione delle chiavi o di firma del wallet. Una chiave privata è l'unico requisito che controlla l'accesso ai fondi di un wallet. Il software del wallet è il livello in cui tali chiavi vengono generate, memorizzate e utilizzate per firmare transazioni, ed è per questo che i difetti di implementazione a questo livello tendono ad attrarre un'attenzione ravvicinata da parte dei ricercatori di sicurezza. Se può essere recuperata da un numero limitato di output osservabili, la barriera pratica per un attaccante si riduce considerevolmente.

Questa classe di debolezza è distinta dagli attacchi a forza bruta, che richiedono un calcolo esaustivo, perché riduce il compito dell'attaccante alla raccolta di un piccolo numero di punti dati. L'analisi di SlowMist ha indicato sei osservazioni come la condizione dichiarata sufficiente a consentire il recupero.

La società ha in precedenza segnalato vulnerabilità a condizione ristretta in altri protocolli. In un caso precedente, SlowMist ha riportato una perdita di 59.800 dollari in un sistema di smart wallet in stile Argent, in cui un attaccante ha sfruttato una specifica condizione del contratto per drenare fondi. Questo schema riflette l'attenzione della società sui difetti di implementazione sottili piuttosto che sugli attacchi su infrastrutture su larga scala.

Importanti dettagli tecnici restano non specificati nel brief di ricerca. Il tipo di osservazioni richieste, lo schema di firma crittografica coinvolto e se le osservazioni debbano essere raccolte on-chain o off-chain non sono dettagliati nei materiali disponibili. I lettori non dovrebbero presumereun flusso di attacco particolare finché la documentazione tecnica ufficiale di SlowMist o del progetto Qubic non chiarirà questi punti.

Implicazioni per utenti e sviluppatori del wallet Qubic

Per gli utenti del wallet, il rilievo riportato comporta un'implicazione diretta: l'esposizione della chiave privata è l'esito più grave possibile in una vulnerabilità del wallet, perché concede a un attaccante il controllo completo e irrevocabile sui fondi associati. A differenza di uno sfruttamento di smart contract che può essere limitato agli asset a livello di protocollo, il recupero della chiave privata riguarda ogni asset detenuto in un wallet compromesso.

SlowMist non ha identificato quali versioni specifiche del wallet, implementazioni software o gruppi di utenti rientrino nell'ambito della vulnerabilità. I materiali di ricerca disponibili non confermano se sia stata rilasciata una patch, se il progetto Qubic sia stato notificato nell'ambito di un processo di divulgazione coordinata o se siano andati persi fondi di utenti. La divulgazione coordinata — la pratica di segnalare privatamente un difetto al progetto interessato affinché una correzione possa essere preparata prima o insieme alla divulgazione pubblica — è una norma comune nella ricerca sulla sicurezza delle criptovalute, e il suo stato in questo caso resta parte del registro aperto.

L'incertezza è parallela a un precedente rilievo di SlowMist in cui la società ha segnalato una perdita di 5,08 ETH nel Set Protocol causata da un problema di calcolo — un caso in cui l'ambito interessato era similemente ristretto ma l'impatto finanziario era reale.

Gli sviluppatori che lavorano su o integrano funzionalità del wallet Qubic dovrebbero considerare la condizione di recupero a sei osservazioni come uno stimolo a verificare le implementazioni di generazione delle chiavi e di firma per qualsiasi fonte di perdita osservabile. SlowMist non ha pubblicamente specificato un percorso di rimediazione nei materiali esaminati per questo rapporto.

Il track record di SlowMist nella divulgazione delle vulnerabilità dei wallet

SlowMist è una società di sicurezza blockchain con sede in Cina che pubblica regolarmente analisi di vulnerabilità e analisi post-incidente su più catene e implementazioni di wallet. La sua ricerca pubblicata copre difetti logici di smart contract e debolezze di implementazione crittografica. In un caso separato, la società ha segnalato una perdita di 86.000 dollari in token UNCX attribuita a un difetto del VestingManager, illustrando ancora una volta il suo schema di identificazione e divulgazione di vulnerabilità specifiche e delimitate nei sistemi di produzione.

Il rilievo sul wallet Qubic segue questo modello di divulgazione. SlowMist ha attribuito l'analisi alla propria ricerca e l'ha presentata come un rischio di sicurezza per gli utenti interessati, fermandosi però affermare uno sfruttamento confermato. Se il team di sviluppo Qubic abbia riconosciuto la vulnerabilità o rilasciato una correzione resta non confermato nel registro disponibile.

Finché non saranno disponibili indicazioni ufficiali da SlowMist o dal progetto Qubic, gli utenti del wallet dovrebbero trattare con cautela qualsiasi sistema segnalato nell'analisi, evitare di esporre le operazioni di firma ad ambienti non fidati e monitorare i canali ufficiali del progetto Qubic per un avviso di sicurezza coordinato, insieme a eventuali documentazioni tecniche successive che specifichino le osservazioni e lo schema di firma coinvolti.

Disclaimer: Questo articolo ha finalità esclusivamente informative e non costituisce consulenza finanziaria o di investimento. I merc delle criptovalute e degli asset digitali comportano rischi significativi. I lettori dovrebbero effettuare le proprie ricerche prima di prendere decisioni.