Qubic apre il portale per le richieste dopo che un difetto del seed del wallet espone 1.404 account

Qubic è ora ufficialmente di nuovo attivo. Il team ha avviato il processo di recupero dopo la recente vulnerabilità del seed che ha drenato 1,4 milioni di dollari in QU su 1,4 mila wallet. Per supportare gli utenti interessati, la piattaforma ha introdotto un portale di reclami dove i titolari di wallet colpiti possono inviare le proprie richieste.

Secondo Qubic Explorer, la blockchain ha ripreso l'elaborazione dei tick alle 20:00 UTC del 19 ottobre. La network sta ora elaborando le transazioni successive al tick 85.371.949, dopo lo spegnimento di emergenza di domenica.

Il portale di reclami di Qubic è aperto fino a maggio dell'anno prossimo

Qubic ha incoraggiato gli utenti interessati a presentare reclami per ripristinare i propri fondi nelle loro identità sicure. Il team di Qubic ha spiegato che il quorum dei computor sarà responsabile di tutte le decisioni relative al recupero e dell'implementazione di tali azioni. Gli utenti hanno tempo fino al 1° maggio 2027 per presentare i reclami. 

La piattaforma ha garantito agli utenti che quando la rete blockchain non era disponibile, i loro fondi sono stati trasferiti a un portafoglio di escrow sicuro. Tale trasferimento è diventato la base per un recupero riuscito. Tuttavia, il progetto mette in guardia che qualsiasi portafoglio web creato prima dell'aggiornamento alla versione 4.26.4 del 19 ottobre non è sicuro. 

È fondamentale aggiornare il proprio portafoglio, trasferire tutti gli asset su un nuovo indirizzo sicuro e smettere di utilizzare i vecchi portafogli, ha affermato.

Innanzitutto, l'attaccante si è appropriato di 2,94 trilioni di QU da 1.404 portafogli. Secondo la rete, l'hack è stato causato da una debolezza nella generazione dei seed, piuttosto che dal protocollo Qubic stesso.

Ha scritto: "L'incidente è avvenuto perché questi seed sono deboli. Ciò significa che l'attaccante può produrre la stessa firma valida che puoi generare tu". Sebbene sia stato ora confermato che la vulnerabilità nella generazione dei seed è stata risolta nell'ultima versione del suo portafoglio web.

Allo stesso modo, precedenti violazioni della sicurezza hanno ripetutamente dimostrato che le carenze nella generazione della casualità possono lasciare i portafogli crittografici vulnerabili agli attacchi. In particolare, a fine luglio, gli hacker hanno sfruttato una vulnerabilità nella configurazione del firmware di Coldcard di Coinkite, risalente al marzo 2021, per rubare Bitcoin dagli utenti. 

L'hack è stato condotto in quattro ondate separate di transazioni fraudolente. È iniziato il 30 luglio 2026, quando l'hacker ha rubato 594 BTC, quasi 38 milioni di dollari, in soli 25 minuti. Principalmente, la minaccia alla sicurezza ha sfruttato una debolezza nella generazione dell'entropia hardware dei portafogli crittografici interessati.

Nello specifico, un bug nel firmware Coldcard versione 4.0.1, rilasciato nel marzo 2021, ha compromesso l'algoritmo per la generazione del seed, portando alla formazione di una frase di recupero con bassa entropia. Di conseguenza, il wallet configurato con quel firmware ha generato chiavi private deboli, che potevano essere facilmente decifrate offline.

Il difetto nel design della configurazione ha portato a un completo collasso della sicurezza crittografica, riducendo lo spazio delle chiavi da 128 bit a soli 40 bit su hardware obsoleto. Secondo la ricerca di Galaxy, le perdite totali ammontano a circa 1.816 BTC, per un totale di quasi 116 milioni di dollari USA, e sono stati utilizzati 5.200 indirizzi diversi.

Settembre ha visto due importanti exploit cripto

La società di sicurezza blockchain PeckShield ha documentato 55 exploit principali a settembre, con perdite aggregate vicine ai 766,5 milioni di dollari. Si tratta di un aumento del 462% rispetto al totale di agosto, pari a 136,3 milioni di dollari. La maggior parte delle perdite è derivata dall'hack dell'exchange Bitget (per un valore di 387 milioni di dollari) e dalla violazione della Liquid Network (per un valore di 320 milioni di dollari). Tuttavia, Liquid ha registrato un ritorno di 285 milioni di dollari.

Secondo Gracy Chen, CEO di Bitget, l'attacco è stato causato da un aggressore che ha manipolato i dati delle transazioni backend per eludere il processo di autorizzazione. L'azienda coprirà i danni autonomamente tramite il Fondo di Protezione Utenti, che vanta un saldo superiore a 464 milioni di dollari. Per quanto riguarda l'incidente della Liquid Network, sono stati prelevati illegalmente 4.000 BTC.

L'incidente Qubic si aggiunge a una lista crescente di fallimenti di sicurezza che colpiscono utenti di criptovalute, exchange e fornitori di wallet. Sebbene le cause e la portata di queste violazioni varino, evidenziano l'importanza di una generazione sicura delle chiavi, di una risposta rapida agli incidenti e di procedure di recupero trasparenti.

Per Qubic, la priorità immediata è elaborare le richieste di risarcimento assicurando al contempo che gli utenti migrino verso identità di portafoglio sicure. L'esito di tale processo determinerà quanto del valore rubato potrà essere recuperato e con quale efficacia la rete riuscirà a ripristinare la fiducia degli utenti.