Minteo infinito en QBridge de Qubit

El 27 de enero de 2022, el protocolo de préstamos en BNB Chain Qubit Finance perdió 206.809 BNB (~$80 millones) en un solo exploit. El atacante minteó 77.162 qXETH — una representación puenteada de Ethereum, nominalmente valorada en $185 M — sin haber depositado nunca ETH en el lado Ethereum del puente, y usó el colateral falso para pedir prestado todo lo disponible en Qubit.

Qué ocurrió

El QBridge de Qubit conectaba Ethereum y BNB Chain. El flujo previsto en el lado Ethereum:

1. El usuario deposita ETH (u otro activo) en el contrato del puente.
2. El puente emite un evento.
3. Un relayer detecta el evento y mintea el qXETH correspondiente en BNB Chain.

El contrato QBridge en Ethereum tenía una función deposit() que manejaba ETH real. También tenía una ruta separada depositETH(), que solo debería haber sido llamable como parte de una transferencia real de ETH. El bug: depositETH() se implementó de una forma que podía activarse sin una transferencia real de ETH — el lado del relayer procesaba el evento emitido como legítimo y minteaba qXETH en BSC.

Pasos:

1. El atacante llamó a la ruta de función vulnerable en el puente Ethereum con cero ETH transferidos.
2. El puente emitió un evento de depósito para la dirección del atacante.
3. El relayer cross-chain minteó 77.162 qXETH al atacante en BSC.
4. El atacante usó qXETH como colateral en los mercados de préstamos de Qubit y pidió prestado cada activo que Qubit tenía para prestar — principalmente 206.809 BNB ($80 M), pero también BTC-B, stablecoins, CAKE, BUNNY y MDX.
5. Se marchó. El lado del puente Ethereum tenía esencialmente cero ETH real respaldando el suministro inflado de qXETH.

Consecuencias

• Qubit pausó el protocolo en horas y ofreció una recompensa de $250.000 por la devolución de los fondos (bajo su programa de bug-bounty de Immunefi), que quedó sin respuesta.
• El atacante blanqueó a través de Tornado Cash; sin recuperación.
• Qubit Finance nunca se recuperó significativamente como protocolo.

Por qué importa

Qubit es el exploit de libro de texto de "depósito falso" en puentes. Cada puente cross-chain tiene el mismo riesgo estructural: la cadena de destino mintea una representación basada en una afirmación sobre el estado de la cadena de origen, y cualquier cosa que permita a un atacante falsificar esa afirmación rompe el puente por completo. La clase de bug se ha repetido desde entonces en diferentes formas en Nomad, Wormhole, BNB Bridge y otros — cada uno a través de un mecanismo específico diferente, todos leyendo igual on-chain: "X tokens minteados en el destino, cero bloqueados en el origen."