Vaciado de carteras Qubic por semillas débiles

El 18 de octubre de 2026, la red Qubic detuvo su mainnet después de que un atacante vaciara 1.404 carteras generadas con semillas predecibles, llevándose casi 2,94 billones de QU por valor de aproximadamente 1,4 millones de dólares. El fallo no estaba en el protocolo de la cadena de bloques, sino en cómo el software de carteras de Qubic producía las frases semilla, lo que hacía adivinables las claves privadas de una gran parte de los usuarios.

Qué ocurrió

Las herramientas de cartera de Qubic generaban el material de la semilla con Math.random() de JavaScript, una función pseudoaleatoria explícitamente inadecuada para secretos criptográficos porque su salida es predecible y no procede de un fondo de entropía seguro. Cualquier clave derivada de una semilla así puede, en principio, reconstruirse por un atacante que reproduzca el estado del generador. Qubic señaló que la debilidad afectaba a las semillas creadas en cualquier navegador en un iPhone o iPad, en Safari en un Mac hasta el 18 de octubre de 2026 o en la app iOS de Qubic anterior a julio de 2025. Un commit de GitHub para la versión de cartera 4.26.4 muestra que el proyecto sustituyó Math.random() por la API segura crypto.getRandomValues().

El vaciado se produjo entre aproximadamente las 23:42 UTC del 17 de octubre y la 01:26 UTC del 18 de octubre, durante las cuales el atacante barrió 1.404 cuentas afectadas y consolidó el botín. Los validadores suspendieron entonces la red en el tick 85.371.949 para impedir que los tokens robados siguieran moviéndose. Según Qubic, el 87,1 % de los fondos vaciados nunca salió de la red y permanece congelado en su sitio por la detención, mientras que el 12,9 % restante ya se había enviado al exchange MEXC, cuyo equipo congeló la cuenta receptora en aproximadamente una hora.

Consecuencias

El equipo central de Qubic afirmó que estaba identificando las carteras afectadas y preparando opciones de recuperación que se someterán a votación de los Computors de la red, quienes decidirán qué sucede con los fondos congelados; se prometió un informe técnico completo una vez acordado un plan. La cadena seguía en pausa en el momento de redactar esto, sin fecha de reinicio anunciada. Bitget suspendió los depósitos y retiros de QUBIC mientras la situación seguía sin resolverse. No se devolvieron fondos a los usuarios y, como las semillas débiles generadas con anterioridad pueden seguir siendo vulnerables incluso tras la corrección, se instó a los titulares afectados a mover sus activos a carteras recién generadas una vez que la cadena se reanude. La capitalización de mercado de QU se situaba en torno a los 62,6 millones de dólares.

Por qué importa

El incidente de Qubic es un fallo de manual de la generación de claves del lado del cliente: el protocolo en sí nunca fue explotado, pero cualquier cartera construida sobre un generador de números aleatorios débil era, en la práctica, pública. Recuerda a Wintermute, cuya pérdida de 160 millones de dólares se remontó a la herramienta de direcciones vanidad Profanity, que generaba claves privadas a partir de una entropía insuficiente — la misma causa raíz a una escala muy distinta. El episodio también muestra el doble filo de una red que puede detenerse y congelar a voluntad: el modelo Computor permitió a Qubic congelar el 87 % del botín en su sitio, una red de seguridad que ninguna cadena inmutable ofrece, pero que depende de un conjunto de validadores pequeño y coordinado en lugar de que las claves sean seguras desde el principio. Para los usuarios, la lección es rotunda: una semilla solo es tan segura como la aleatoriedad que la creó.