Qubic, 1.404 wallet svuotati: seed deboli e blockchain bloccata

🛡️ Executive Summary

• Qubic denuncia il trasferimento non autorizzato di 2,94 trilioni di QU da 1.404 wallet, per un valore indicativo di 1,3 milioni di dollari.
• L’attacco sfrutta seed generati con entropia insufficiente, soprattutto attraverso determinate modalità di creazione dei wallet su iPhone, iPad e Safari per Mac.
• La blockchain viene sospesa al tick 85.371.949 e gli exchange intervengono per bloccare i movimenti, mentre il recupero dei fondi resta da definire.

Qubic ha sospeso la propria blockchain dopo un attacco che ha coinvolto 1.404 wallet e circa 2,94 trilioni di token QU, per un controvalore stimato di 1,3 milioni di dollari. L’incidente, avvenuto tra il 17 e il 18 ottobre 2026, non sarebbe stato provocato da una vulnerabilità del protocollo blockchain, ma da un problema nella generazione dei seed utilizzati per controllare i portafogli digitali. La circostanza più delicata riguarda alcune modalità di creazione delle chiavi attraverso iPhone, iPad e Safari su Mac, con conseguenze potenzialmente rilevanti anche per i possessori europei di criptovalute. La debolezza del materiale crittografico avrebbe consentito agli attaccanti di accedere ai wallet interessati, spingendo i validatori a interrompere la rete per contenere ulteriori trasferimenti.

Qubic perde 2,94 trilioni di token QU e sospende le transazioni

L’attacco si sarebbe svolto tra le 23:42 UTC del 17 ottobre e le 01:26 UTC del giorno successivo, una finestra di 104 minuti nella quale gli aggressori avrebbero trasferito token da 1.404 wallet. La ricostruzione dell’incidente pubblicata il 18 ottobre riporta i dati attribuiti alla comunicazione del progetto e identifica nella prevedibilità dei seed la causa iniziale della compromissione. I validatori Qubic, denominati Computors, hanno quindi coordinato l’interruzione delle operazioni al tick 85.371.949, congelando l’elaborazione delle nuove transazioni. La misura ha impedito ulteriori movimenti sulla rete, ma ha coinvolto anche gli utenti estranei all’attacco, impossibilitati a trasferire temporaneamente i propri asset. Secondo la ricostruzione comunicata dal progetto, l’87,1% dei token sottratti è rimasto immobilizzato sulla blockchain, mentre il restante 12,9% è stato trasferito verso MEXC, dove sarebbero stati bloccati gli account destinatari. Le percentuali descrivono il contenimento delle somme, non il loro recupero definitivo: i fondi non risultano automaticamente restituiti ai proprietari e qualsiasi soluzione deve ancora essere valutata attraverso le procedure di governance.

I seed prevedibili espongono i wallet creati su iPhone, iPad e Safari

Il problema individuato da Qubic riguarda l’entropia, cioè il livello di imprevedibilità necessario per generare un seed crittograficamente sicuro. Quando il processo utilizza valori non sufficientemente casuali, le combinazioni possibili possono ridursi fino a rendere praticabile la ricostruzione di chiavi che dovrebbero risultare impossibili da indovinare. Gli sviluppatori hanno individuato tre gruppi di seed potenzialmente interessati: quelli creati prima del 18 ottobre 2026 attraverso qualsiasi browser su iPhone o iPad, quelli generati entro la stessa data con Safari su Mac e quelli prodotti dall’applicazione Qubic per iOS prima di luglio 2025. Non significa che tutti i portafogli creati con questi dispositivi siano stati violati, né che sia stata individuata una vulnerabilità generale nei sistemi operativi Apple. La criticità è associata alla generazione delle chiavi nel software Qubic e non dimostra un difetto universale dei generatori crittografici di iOS o macOS. Il precedente più pertinente è quello dei seed deboli identificati nei dispositivi Coldcard, con sospetti furti Bitcoin per 88,6 milioni di dollari, perché entrambi i casi mostrano quanto sia importante l’imprevedibilità del segreto iniziale rispetto alla robustezza degli algoritmi utilizzati successivamente.

Leggi anche: Firefox, 16 false estensioni wallet rubano seed e chiavi private

La versione 4.26.4 correggerebbe il generatore ma non le vecchie chiavi

Qubic ha dichiarato di avere corretto il problema nella versione 4.26.4 del software wallet, precisando che il nuovo processo non dovrebbe produrre ulteriori seed con la debolezza identificata. Il rilascio e la sua distribuzione effettiva devono essere verificati sui canali ufficiali prima di considerare il problema completamente risolto per tutti gli utenti. Soprattutto, correggere un generatore non modifica retroattivamente le chiavi già prodotte: un wallet creato con un seed prevedibile può rimanere esposto anche dopo l’aggiornamento dell’applicazione. Per i possessori di QU diventa quindi essenziale verificare come sia stato generato il proprio portafoglio e seguire le indicazioni ufficiali per l’eventuale migrazione verso nuove credenziali, senza utilizzare procedure di recupero suggerite da soggetti sconosciuti. Anche la sostituzione della password locale non elimina il problema se il controllo dei fondi dipende ancora dal seed originario. La distinzione è importante rispetto alle campagne di malware che rubano le seed phrase dagli smartphone attraverso applicazioni compromesse: in quei casi il segreto viene acquisito da software ostile, mentre Qubic attribuisce l’attacco alla debolezza della sua generazione. Il risultato operativo può essere simile, ma il vettore di compromissione è differente.

Exchange coinvolti e recupero dei fondi ancora da definire

La sospensione della blockchain ha prodotto conseguenze anche sugli intermediari che consentono di acquistare, vendere e trasferire QUBIC. MEXC avrebbe congelato gli account che hanno ricevuto una parte dei token sottratti, mentre Bitget ha sospeso depositi e prelievi sulla rete, motivando il provvedimento con attività di manutenzione del wallet. Il blocco dei trasferimenti impedisce temporaneamente nuovi movimenti attraverso questi servizi, ma non stabilisce la proprietà definitiva dei fondi congelati né garantisce un rimborso. Secondo le informazioni diffuse dal progetto, l’eventuale procedura di recupero dovrà essere sottoposta al quorum dei Computors, che rappresentano il livello decisionale necessario per autorizzare interventi sulla rete. Gli sviluppatori stanno identificando gli indirizzi interessati e valutando possibili soluzioni, mentre un rapporto tecnico completo è stato annunciato soltanto dopo la definizione del piano di recupero. Non risultano quindi confermati né un calendario definitivo di ripristino né un meccanismo generale di risarcimento. L’incidente assume particolare importanza in un mercato che ha già visto attacchi alla supply chain crypto e perdite milionarie colpire piattaforme e operatori, evidenziando la distanza tra la promessa di autonomia della custodia digitale e la necessità di interventi coordinati quando il software che protegge gli asset si rivela vulnerabile.

Continua con:

Europol avverte sul quantum: wallet crypto e dati cifrati vanno migrati ora

CryptoJS espone wallet per 5,7 milioni

Il caso Qubic mostra il limite della sicurezza affidata alle sole blockchain

L’episodio evidenzia un problema che va oltre il valore delle criptovalute sottratte. Una blockchain può mantenere integro il proprio protocollo e subire comunque perdite rilevanti quando la custodia dipende da chiavi prodotte in modo insicuro. Per gli utenti italiani non è stata documentata un’esposizione specifica diversa da quella degli altri mercati: il rischio riguarda l’origine del seed e la versione del software, non la nazionalità del possessore. Il blocco della rete introduce inoltre una seconda questione, perché il contenimento dell’attacco richiede decisioni collettive capaci di interrompere temporaneamente anche l’operatività degli utenti legittimi. La capacità di fermare le transazioni può limitare il danno immediato, ma rende particolarmente importante conoscere le regole di governance e le condizioni del successivo ripristino. La vicenda Qubic non dimostra che il protocollo sia stato violato, ma che la protezione delle criptovalute dipende dall’intera catena di fiducia, a partire dalla generazione delle chiavi private fino ai wallet, agli intermediari e alle procedure utilizzate per affrontare gli incidenti.