Qubic ha restablecido las operaciones de su blockchain tras el robo de 2.94 billones de QU de 1,404 billeteras, con la aprobación de un plan de recuperación por parte del quórum de Computors y la devolución de los primeros fondos a propietarios verificados.

La actualización del 20 de octubre marca la recuperación de la red tras un apagón de emergencia provocado por un exploit que aprovechó semillas de recuperación de billeteras predecibles. Los fondos afectados fueron trasladados a custodia protegida, mientras una plataforma dedicada a reclamaciones acepta solicitudes de reembolso hasta el 1 de mayo de 2027. La red vuelve a procesar transacciones, aunque los usuarios cuyas billeteras fueron generadas con software vulnerable deben migrar a direcciones nuevas y aseguradas.

El quórum de Computors aprueba la recuperación y el reinicio de la red

Los Computors de Qubic coordinaron una detención de emergencia en el tick 85,371,949 el 18 de octubre, después de que los atacantes explotaran semillas de billetera débiles para transferir aproximadamente 1.3 millones de dólares en QU entre las 23:42 UTC del 17 de octubre y las 01:26 UTC del día siguiente. El proyecto anunció la recuperación de la red en una publicación en X.

La intervención inmovilizó aproximadamente el 87.1% de los tokens robados en la red. El 12.9% restante, que había sido transferido al exchange de criptomonedas MEXC, quedó congelado en la cuenta receptora.

Dado que la debilidad se originó en la generación de semillas de la billetera y no en el protocolo de la red en sí, la recuperación dependió de una acción coordinada de la red para inmovilizar los tokens robados y, en el caso de la porción convertida fuera de la cadena, de la cooperación del exchange, lo que ilustra que la seguridad en la creación de semillas queda fuera de lo que las reglas on-chain por sí solas pueden proteger.

Durante el apagón, los fondos vulnerables fueron trasladados a cuentas de custodia protegida, lo que impidió nuevas transferencias no autorizadas mientras los Computors evaluaban el procedimiento de recuperación. Posteriormente, el quórum aprobó los acuerdos de recuperación y autorizó el regreso de la red a su operación.

Los primeros reembolsos ya llegaron a propietarios de billeteras verificados, aunque no se ha revelado el monto total distribuido. La recuperación sigue sujeta a la verificación de propiedad, y los fondos retenidos en MEXC siguen un proceso aparte que depende de la cooperación del exchange y de los requisitos de las autoridades.

La versión 4.26.4 de la billetera corrige la generación débil de semillas

El ataque explotó la aleatoriedad insuficiente en la generación de semillas de la billetera, lo que permitió al atacante reconstruir las claves privadas asociadas a direcciones vulnerables. Las billeteras creadas mediante navegadores en iPhones e iPads, Safari en macOS y versiones antiguas de la aplicación iOS de Qubic estuvieron especialmente expuestas.

Un parche de seguridad desarrollado por el contribuidor principal Joetom reemplazó la insegura implementación Math.random() de JavaScript por la función criptográficamente segura crypto.getRandomValues(). La corrección está incluida en la versión 4.26.4 de la billetera, que impide que el método de generación vulnerable se utilice para semillas recién creadas.

Los usuarios que generaron billeteras con el software afectado deben crear semillas de recuperación y direcciones completamente nuevas, en lugar de simplemente actualizar sus billeteras existentes. Qubic ha recomendado tratar las identidades de billeteras web creadas antes de la versión 4.26.4 como potencialmente inseguras, incluso si no ocurrieron transferencias no autorizadas.

Credenciales de recuperación predecibles han causado pérdidas importantes en otros casos de criptomonedas. La falla anterior de la billetera Ill Bloom involucró aleatoriedad insuficiente que expuso direcciones de criptomonedas a accesos no autorizados, lo que ilustra por qué las actualizaciones de software no pueden proteger retroactivamente credenciales de recuperación ya comprometidas. El paralelismo subraya por qué la aleatoriedad en la creación de claves se considera una dependencia fundamental: una vez que las semillas son predecibles, las pruebas básicas de propiedad, como las firmas, pierden confiabilidad, ya que el atacante también puede producirlas.

Las reclamaciones de recuperación están abiertas hasta mayo de 2027

Los usuarios afectados pueden enviar solicitudes a través de la plataforma oficial de recuperación de Qubic, que requiere la dirección pública de la billetera comprometida, una dirección de destino nueva y segura generada recientemente, y evidencia que acredite la propiedad legítima.

Los reclamantes deben firmar un mensaje de verificación con su identidad afectada, pero las firmas por sí solas son insuficientes porque el atacante puede poseer las mismas claves privadas comprometidas. La evidencia de respaldo aceptable incluye recibos de retiro de exchanges, registros previos de fondeo, confirmaciones de transacciones OTC y firmas de direcciones no afectadas asociadas a la billetera original.

El proceso de recuperación separa las reclamaciones directas y no contestadas de los casos que requieren revisión adicional de los desarrolladores. Las reclamaciones aprobadas pasan por un período de disputa de siete días antes del pago, mientras que las reclamaciones de propiedad en conflicto permanecen congeladas hasta su resolución.

La verificación de identidad opcional está disponible a través de Didit, aunque los usuarios no están obligados a completarla. La plataforma de recuperación no solicita semillas de recuperación de la billetera ni cobra tarifas de reembolso.

Los acuerdos de recuperación también cubren activos mantenidos en posiciones de contratos inteligentes afectados, incluidas ciertas tenencias de QEA. Con la ventana de reclamaciones abierta hasta el 1 de mayo de 2027, los desarrollos a seguir incluyen el ritmo de los reembolsos verificados, el manejo de las reclamaciones disputadas tras cada período de disputa de siete días y el 129% congelado en MEXC, que depende de la cooperación del exchange y de los requisitos de las autoridades.