Qubic ha suspendido su blockchain después de que un atacante vaciara 1.404 wallets que contenían aproximadamente 2,94 billones de tokens QU, con un valor de alrededor de 1,3 millones de dólares, al explotar semillas de wallet predecibles generadas mediante software vulnerable.

El robo ocurrió entre las 23:42 UTC del 17 de octubre y las 01:26 UTC del 18 de octubre de 2026. Los Computors de Qubic coordinaron una parada de emergencia de la red en el tick 85.371.949, deteniendo las transacciones mientras el equipo de desarrollo investigaba las wallets afectadas. El equipo comunicó el apagón mediante una publicación oficial en X.

Los esfuerzos de contención se mantuvieron en gran medida. Aproximadamente el 87,1% de los tokens robados permaneció en la red suspendida, mientras que el 12,9% restante llegó al exchange de criptomonedas MEXC, que congeló la cuenta receptora. Los fondos están ahora inmovilizados, aunque su eventual recuperación y distribución siguen sin resolverse.

Semillas de wallet débiles expusieron más de 1.400 cuentas

El atacante explotó la aleatoriedad insuficiente en la generación de semillas de recuperación de las wallets, dejando las claves privadas resultantes vulnerables a la predicción. Dado que una semilla de recuperación sirve como credencial raíz a partir de la cual una wallet deriva sus claves privadas, una debilidad en la etapa de generación pone en riesgo cada dirección que esas claves controlan. Los entornos afectados incluyen cualquier navegador que se ejecute en un iPhone o iPad antes del 18 de octubre de 2026, Safari en macOS antes de la misma fecha y la aplicación iOS de Qubic antes de julio de 2025.

La falla estaba en la generación de semillas de la wallet y no en el consenso subyacente de Qubic ni en sus reglas de validación de transacciones. Las direcciones creadas con semillas predecibles seguían expuestas incluso cuando sus propietarios no habían interactuado recientemente con aplicaciones maliciosas ni firmado transacciones sospechosas.

La aleatoriedad débil en la creación de semillas es un modo de falla que ya se ha manifestado en la industria. La falla de la wallet Ill Bloom expuso direcciones de criptomonedas mediante aleatoriedad insuficiente durante la creación de la frase de recuperación, mientras que una vulnerabilidad de Coldcard afectó a hardware wallets que generaronillas de Bitcoin insuficientemente seguras.

Los registros de wallets afectadas de Qubic identifican 2.939.606.531.944 QU transferidos a siete direcciones de recolección durante el incidente. Las wallets creadas a través de los entornos vulnerables siguen estando potencialmente comprometidas, incluso cuando no estuvieron incluidas en los robos identificados.

Qubic lanza la versión 4.26.4 para corregir la generación de semillas

El 18 de octubre, Qubic lanzó la versión 4.26.4 de la wallet, publicada en GitHub, que introduce una corrección en su proceso de generación de semillas. El parche de seguridad reemplaza la función Math.random() de JavaScript por crypto.getRandomValues(), proporcionando aleatoriedad criptográficamente segura para las semillas de wallet recién generadas, según se detalla en el commit asociado. Math.random() es el generador pseudoaleatorio de uso general de JavaScript y no está diseñado para usos críticos de seguridad, mientras que crypto.getRandomValues() se basa en la fuente criptográfica de aleatoriedad del sistema.

La implementación actualizada también rechaza determinados valores de bytes aleatorios para eliminar el sesgo estadístico al convertir datos aleatorios en las semillas de 55 caracteres que utiliza Qubic.

La corrección protege las semillas recién generadas, pero no asegura las wallets creadas con el método vulnerable. Los usuarios afectados necesitan wallets nuevas con semillas generadas de forma segura y deben transferir cualquier activo restante una vez que se reanuden las transacciones en la red y el equipo proporcione las instrucciones de migración. Qubic también ha advertido a los usuarios sobre ofertas de recuperación no solicitadas y solicitudes de semillas de wallet o claves privadas.

Los Computors decidirán la recuperación mientras la red permanece congelada

La respuesta de emergencia de Qubic impidió que la mayoría de los fondos robados saliera de su propia red, mientras que MEXC inmovilizó la porción retenida en el exchange. El clúster de Computors determinará las próximas acciones de recuperación a través de los procedimientos de gobernanza de la red.

El incidente se produjo poco después de que el puente de Cysic fuera explotado, lo que permitió a un atacante acuñar 10 millones de tokens CYS no autorizados y transferir aproximadamente 727.000 dólares en ganancias a Ethereum antes de que el puente fuera suspendido.

Qubic está identificando direcciones adicionales potencialmente expuestas y evaluando cómo proteger los saldos restantes antes de restablecer las operaciones normales. Se informó que su sistema de staking QEARN no resultó afectado, aunque el procesamiento de transacciones a nivel de red permanece suspendido. Los exchanges también han restringido las transferencias de QU mientras el incidente sigue sin resolverse, impidiendo depósitos y retiros adicionales a través de las plataformas afectadas.

Qubic planea publicar un informe técnico completo después de finalizar su enfoque de recuperación. El quórum de Computors no ha anunciado una decisión final de compensación ni una fecha confirmada para reiniciar la red.

Fuente: Crypto Adventure