El 18 de octubre de 2026, Qubic confirmó oficialmente que había sufrido un ataque informático. El atacante aprovechó una vulnerabilidad relacionada con semillas débiles de las billeteras y vació en masa 1404 billeteras entre las 23:42 del 17 de octubre y la 01:26 del 18 de octubre, hora UTC. El total de tokens QU robados fue de aproximadamente 2,94 billones.
Según el comunicado oficial de Qubic, la causa de esta vulnerabilidad fue la falta de aleatoriedad en el módulo de generación de semillas de las billeteras, lo que permitió al atacante descifrar el acceso a las billeteras de las víctimas. El equipo del proyecto destacó que el defecto solo afectaba al proceso de generación de semillas de las billeteras y que el protocolo subyacente de Qubic no presentaba ningún problema.
El alcance de la vulnerabilidad se limitó a las billeteras creadas en determinados dispositivos y durante un período específico:
1. Carteras creadas antes del 18 de octubre de 2026 en dispositivos iPhone o iPad mediante cualquier navegador
2. Carteras creadas antes del 18 de octubre de 2026 en el navegador Safari de ordenadores Mac
3. Carteras creadas antes de julio de 2025 con la versión antigua de la aplicación Qubic para iOS
Tras el ataque, el conjunto de nodos Computor pausó la red en la altura de tick 85,371,949. Esta medida logró congelar el 87,1 % de los fondos robados, que siguen bloqueados en la cadena e imposibles de transferir para los hackers.
El 12,9 % restante de los fondos robados se transfirió al exchange MEXC. En una hora, el exchange congeló la cuenta receptora de los hackers y suspendió temporalmente los depósitos y retiros de QUBIC, cortando así la vía que estos tenían para convertir los fondos en efectivo.
La vulnerabilidad en la generación de semillas de las carteras ya se corrigió en la versión 4.26.4. La decisión final sobre cómo gestionar los activos robados se someterá a votación colectiva de los Computors.