Qubic ha detenido su blockchain de capa 1 después de que un atacante drenara aproximadamente $1.4 millones en tokens de más de 1,400 wallets de usuarios, explotando frases de recuperación que habían sido generadas con aleatoriedad débil.

La red se detuvo en el tick 85,371,949 el domingo 18 de octubre y permanecía pausada al lunes. El proyecto informó que se llevaron aproximadamente 2.94 billones de tokens de Qubic (QU) en el ataque.

La aleatoriedad débil expuso las claves privadas

Según el equipo central de Qubic, el atacante se dirigió a wallets cuyas frases de recuperación habían sido creadas con aleatoriedad insuficiente, lo que facilitaba deducir las claves privadas correspondientes. Cuanto más débil es la aleatoriedad, menor es el espacio de claves posibles que un atacante necesita buscar. Los robos ocurrieron entre las 23:42 UTC del 17 de octubre y las 01:26 UTC del 18 de octubre.

Security incident update. Between 23:42 UTC on 17 October and 01:26 UTC on 18 October, an attacker drained 1,404 Qubic wallets, totalling around 2.94 trillion QU. Here is what happened, what has been done, and what comes next. pic.twitter.com/7aPJ26lEeZ — Qubic (@Qubic) October 18, 2026

La mayoría de los fondos robados permanece congelada

Qubic informó que el 87.1% de los fondos robados —unos 2.56 billones de tokens— nunca salió de su red y ha sido congelado en el sitio. El 12.9% restante, aproximadamente 379.26 mil millones de tokens, fue enviado al exchange de criptomonedas MEXC. Según el proyecto, MEXC congeló la cuenta receptora en alrededor de una hora y luego pausó los depósitos y retiros de Qubic a solicitud del proyecto. Esta distribución implica que la mayor parte del esfuerzo de recuperación depende de los procesos propios de la red de Qubic, mientras que la porción en manos del exchange depende de los controles de MEXC.

El exchange XT suspendió por separado los depósitos y retiros en las redes de Qubic y Kasplex el 18 de octubre, citando actualizaciones de wallets y mantenimiento.

Qubic no ha confirmado que algún token robado haya sido devuelto a sus propietarios, y aún no ha explicado cómo funcionaría la recuperación.

La falla estaba en el software de la wallet, no en la cadena

La vulnerabilidad se originó en el software de la wallet de Qubic y no en el protocolo de la blockchain en sí. Las frases de recuperación se utilizan para crear las claves privadas que controlan las criptomonedas. Esa distinción es importante: el protocolo en sí no fue quebrantado, pero los activos individuales seguían estando directamente en riesgo.

Las wallets afectadas incluyen aquellas cuyas frases de recuperación fueron creadas con cualquier navegador en un iPhone o iPad antes del 18 de octubre de 2026. También se vieron afectadas las frases generadas con Safari en una Mac antes de esa fecha, así como las creadas mediante la app de Qubic para iOS antes de julio de 2025.

Los desarrolladores corrigieron la falla en la versión 4.26.4 de la wallet web. Una actualización en GitHub muestra que el equipo reemplazó la función Math.random de JavaScript por crypto.getRandomValues(), una interfaz diseñada para producir valores aleatorios criptográficamente seguros. La corrección cubre solo las nuevas frases de recuperación, y Qubic no ha dicho si las frases generadas con el software anterior son seguras.

Un patrón de ataques con semillas débiles

El incidente sigue a otros casos vinculados a frases de recuperación débiles. En julio de 2026, atacantes robaron unos 594 Bitcoin, valorados en $38 millones, de aproximadamente 500 wallets Coldcard debido a un error de firmware. En 2023, fallas similares afectaron la extensión de navegador de Trust Wallet y la herramienta Libbitcoin Explorer. El problema de Libbitcoin, conocido como Milk Sad, se relacionó con más de $900,000 en Bitcoin robados.

Según el informe de investigaciones 2026 de AMLBot, los hackeos y exploits representaron el 19% de los casos de crimen cripto en el tercer trimestre, pero concentraron el 40% de las pérdidas reportadas: una pequeña proporción de incidentes que genera una porción desproporcionada del dinero perdido.

Sobre Qubic y los próximos pasos

Qubic es una blockchain de capa 1 que admite transacciones y contratos inteligentes sin comisiones. Utiliza Useful Proof of Work, un mecanismo que dirige el poder de minado hacia el entrenamiento de inteligencia artificial. El token del proyecto tenía un valor de mercado de aproximadamente $62.6 millones, según CoinGecko.

El equipo central ahora identifica las wallets afectadas y prepara opciones de recuperación. Los operadores de la red, conocidos como Computors, votarán sobre el destino de los fondos congelados, y hasta ahora no se ha aprobado ningún plan de recuperación. Qubic indicó que publicará un informe técnico completo una vez definido un plan, y no ha anunciado cuándo se reiniciará la red.

Fuente: Blockonomi