L’hacking di 1 404 portafogli Qubic è stato reso possibile da frasi di recupero generate con una randomizzazione insufficiente, e non da una vulnerabilità della blockchain stessa. In meno di due ore, l’attaccante ha sottratto circa 2,94 bilioni di QU. I validatori hanno poi sospeso le transazioni per bloccare i fondi ancora presenti sulla rete, mentre il team di Qubic censiva gli account coinvolti e preparava proposte da sottoporre al quorum.
Una vulnerabilità nella creazione dei portafogli, non nel protocollo
Qubic ha attribuito l’incidente alla generazione di seed di portafoglio prevedibili. Una seed, o frase di recupero, consente di creare e ripristinare le chiavi che danno accesso ai fondi di un portafoglio. Se non viene generata con sufficiente casualità, in determinate circostanze una terza parte può indovinare o calcolare le informazioni necessarie per assumere il controllo degli asset associati.
Secondo il team del progetto, il problema riguardava il modo in cui alcune seed venivano create su determinati dispositivi e con specifici software. Qubic ha quindi distinto questa vulnerabilità da una compromissione del suo protocollo o del suo meccanismo di consenso. In altre parole, l’attacco ha preso di mira i portafogli interessati da un metodo di generazione difettoso, anziché la blockchain nel suo complesso.
Questa distinzione è importante: una blockchain può continuare ad applicare correttamente le proprie regole e registrare al contempo operazioni eseguite con le chiavi di un portafoglio compromesse. Il registro non è in grado, da solo, di sapere se chi firma una transazione è il legittimo proprietario o un hacker che ha ottenuto accesso alla sua seed. Verifica che la transazione sia valida secondo le regole della rete.
I dispositivi e le seed potenzialmente coinvolti
Qubic ha segnalato che le seed generate prima del 18 ottobre 2026 in un browser utilizzato su iPhone o iPad potevano essere vulnerabili. Il problema riguardava anche le seed create con Safari su Mac prima di tale data. Il team ha inoltre identificato come potenzialmente interessate le seed generate dall’app Qubic su iOS prima di luglio 2025.
Queste indicazioni non significano che ogni portafoglio creato su tali dispositivi sia stato necessariamente svuotato. Delimitano piuttosto le circostanze in cui una seed potrebbe essere stata generata con casualità insufficiente. L’impatto dipendeva quindi dal portafoglio coinvolto e dalla possibilità che l’attaccante ne recuperasse le informazioni di ripristino.
La versione 4.26.4 dell’app Qubic corregge il processo di creazione e, secondo il progetto, impedisce la generazione di nuove seed vulnerabili. Un aggiornamento può ridurre il rischio per i nuovi portafogli creati con il software corretto, ma non modifica automaticamente le chiavi di un portafoglio esistente. I titolari interessati devono quindi seguire le istruzioni ufficiali del progetto per proteggere i propri fondi e creare eventualmente un portafoglio con una seed sicura.
Un furto portato a termine in meno di due ore
Secondo la cronologia pubblicata da Qubic, l’attività malevola è iniziata il 17 ottobre alle 23:42 UTC e si è conclusa il 18 ottobre alle 1:26 UTC. In questo intervallo di meno di due ore, l’attaccante ha preso il controllo di 1 404 portafogli e trasferito circa 2,94 bilioni di QU.
Durante l’incidente, l’hacker è riuscito ad avviare transazioni utilizzando gli accessi associati ai portafogli compromessi. La blockchain ha quindi elaborato queste operazioni come transazioni valide, perché erano state firmate con le chiavi corrispondenti. È così che può avvenire un furto senza che l’attaccante debba modificare il codice della rete, controllare i validatori o riscrivere la cronologia dei blocchi.
Qubic ha stimato il valore degli asset sottratti in circa 1,29 milioni di dollari, sulla base del prezzo indicato nel suo resoconto. Questa stima varia in funzione del prezzo del token e non corrisponde necessariamente al valore effettivamente recuperabile. La possibilità di spostare, scambiare o congelare i fondi dipende anche da dove si trovano e dalle misure adottate dalle piattaforme interessate.
Perché la blockchain non è stata compromessa
Le chiavi esposte possono bastare ad autorizzare trasferimenti
Le reti basate su prove crittografiche si affidano alle chiavi private per autorizzare i movimenti di fondi. La blockchain conferma che una firma corrisponde alla chiave pubblica del portafoglio e che la transazione rispetta le regole del protocollo. In genere non può determinare se la chiave sia stata utilizzata dal suo proprietario o ottenuta con mezzi fraudolenti.
Nel caso di Qubic, la spiegazione fornita dal progetto riguarda la qualità della generazione delle seed. Se sono prevedibili, un attaccante può potenzialmente ricavarne le chiavi associate e firmare transazioni senza dover sfruttare una vulnerabilità nel consenso. La rete continua quindi a funzionare come previsto: convalida firme corrette, anche se chi le produce non è il legittimo titolare del portafoglio.
Questa categoria di incidente è diversa da un attacco alla blockchain stessa. Una compromissione del protocollo potrebbe, per esempio, comportare una modifica delle regole di convalida o la presa di controllo dei meccanismi che determinano l’ordine delle transazioni. Qubic ha invece indicato che l’origine del problema risiedeva nel processo di creazione delle seed di alcuni portafogli.
La sospensione della rete per trattenere i fondi
Dopo aver rilevato l’hacking, i Computors di Qubic hanno coordinato la sospensione al blocco 85 371 949. Questa misura ha interrotto le transazioni sulla rete per limitare ulteriori movimenti e mantenere fermi gli asset sottratti ancora presenti nell’ecosistema.
La pausa non significa che i fondi siano stati restituiti automaticamente ai loro proprietari. Mira piuttosto a impedire nuove operazioni mentre il progetto valuta la situazione. Qualsiasi decisione sui passi successivi dipende dalle regole di governance di Qubic e da un voto del quorum dei Computors, secondo quanto comunicato dal team.
Questa risposta mostra anche la differenza tra il funzionamento tecnico di una blockchain e le misure di governance che possono essere adottate quando si verifica un incidente. La sospensione è stata coordinata dai partecipanti responsabili del funzionamento della rete; non costituisce di per sé una prova che il protocollo originario sia stato violato. Ha tuttavia un impatto sugli utenti, poiché blocca i trasferimenti durante il periodo di sospensione.
La maggior parte dei fondi è ancora sulla rete
Qubic ha dichiarato che, al momento del suo resoconto, l’87,1% degli asset sottratti era ancora presente sulla rete. Questa percentuale rappresentava la parte dei fondi che la sospensione poteva contribuire a immobilizzare. La situazione degli asset rimanenti era diversa: circa il 12,9% era arrivato su MEXC.
Secondo Qubic, la piattaforma di scambio ha congelato l’account destinatario in meno di un’ora. Il congelamento di un account centralizzato può impedire che gli asset depositati su una piattaforma vengano oggetto di ulteriori prelievi, nel rispetto delle procedure della piattaforma stessa. Tuttavia, da solo non consente di recuperare i fondi che restano sulla blockchain o che sono stati trasferiti altrove.
Diverse piattaforme hanno inoltre sospeso i depositi e i prelievi di QUBIC. Queste restrizioni possono limitare i movimenti tra gli account di scambio e la rete mentre viene analizzato l’incidente. Non modificano la proprietà registrata sulla blockchain, ma riducono temporaneamente la possibilità per gli utenti di spostare i propri token tramite i servizi interessati.
Il ruolo del quorum nella risposta di Qubic
Il team principale di Qubic ha avviato l’identificazione dei portafogli coinvolti e la preparazione di proposte da sottoporre al quorum. Il progetto ha precisato che la risoluzione della vicenda deve essere frutto di una decisione collettiva dei Computors e rispettare le regole della rete.
Questo approccio prevede ancora diversi passaggi: stabilire l’entità delle perdite, distinguere i portafogli effettivamente coinvolti da quelli semplicemente esposti a un metodo di generazione vulnerabile e valutare le opzioni per gestire i fondi immobilizzati. Le informazioni comunicate dal progetto non consentono di considerare già certa una restituzione integrale o un risarcimento.
I titolari interessati si trovano quindi ad affrontare due questioni distinte: proteggere i propri futuri accessi e attendere le decisioni della governance sugli asset sottratti. La correzione della generazione delle seed risponde alla prima esigenza per i nuovi portafogli, mentre il quorum e le piattaforme coinvolte intervengono nella gestione dei fondi legati all’hacking.
La reazione del mercato dopo l’incidente
Il prezzo di QUBIC è sceso del 5,2% in 24 ore, attestandosi intorno a 0,0000004394 dollari, secondo i dati riportati da BeInCrypto Markets. Nello stesso periodo, il mercato delle criptovalute nel suo complesso è calato del 2,8%. Il token ha quindi registrato una flessione più marcata rispetto al mercato generale, mentre gli investitori reagivano alle notizie sui portafogli compromessi e alla sospensione delle transazioni.
Un calo dei prezzi non misura direttamente l’ammontare delle perdite né la portata tecnica di un attacco. Riflette, tra le altre cose, l’incertezza sulla durata dell’interruzione, sulla decisione che prenderà il quorum e sulla possibilità di ripristinare i movimenti di fondi. Anche i dati di mercato sono variabili e possono cambiare rapidamente dopo un annuncio relativo alla sicurezza.
L’incidente di Qubic si è verificato lo stesso giorno di un altro evento segnalato nel settore: il bridge cross-chain di Cysic è stato interessato dalla creazione non autorizzata di 10 milioni di token CYS su BNB Smart Chain. Questi attacchi distinti hanno alimentato le preoccupazioni sulla sicurezza delle infrastrutture crypto in ottobre, ma si basano su meccanismi diversi e non consentono, da soli, di trarre conclusioni comuni sulle loro cause.
