Se vaciaron 1.404 billeteras de Qubic en menos de dos horas y se robaron aproximadamente 2,94 billones de QU.
La falta de aleatoriedad hizo que ciertas semillas de billetera fueran más predecibles, debilitando la seguridad que se espera del formato de semillas de 55 caracteres de Qubic.
La falla se originó en la generación de semillas de billetera, no en el protocolo Qubic en sí.
Entre las 23:42 UTC del 17 de octubre y la 01:26 UTC del 18 de octubre, un atacante vació sistemáticamente 1.404 billeteras de Qubic, con un total aproximado de 2,94 billones de QU. La ventana del ataque fue breve, de menos de dos horas, pero bastó para vaciar más de mil billeteras antes de que la red respondiera.
La vulnerabilidad no estaba en el protocolo QubQUic en sí, sino en la forma en que se generaban ciertas semillas de billetera. Algunas se crearon con una aleatoriedad insuficiente, lo que produjo un conjunto más reducido de combinaciones predecibles que el formato de semilla de 55 caracteres debía evitar.
Además, en lugar de probar por fuerza bruta una cantidad astronómica de posibilidades, el atacante reconstruyó ese conjunto reducido de semillas predecibles, identificó cuáles tenían fondos y los sustrajo.
¿Qué billeteras se vieron afectadas y cómo respondió la red?
Las semillas son vulnerables si se crearon en un iPhone o iPad desde cualquier navegador antes del 18 de octubre de 2026, en una Mac con Safari antes del 18 de octubre de 2026 o en la aplicación Qubic para iOS antes de julio de 2025. Además, si la billetera entra en alguna de estas categorías, considérala comprometida.
Los Computors, los validadores de la red Qubic, coordinaron una pausa protectora en el tick 85,371,949 y bloquearon el libro mayor. Además, esto impide que se procesen nuevas transacciones. Esa única decisión contuvo la mayor parte de los daños.
Como resultado, el 87,1 % de los fondos sustraídos nunca salió de la red Qubic y permanece congelado en la cadena, sin posibilidad de transferirlo ni venderlo mientras se resuelve la situación. El 12,9 % restante se envió a MEXC, cuyo equipo congeló la cuenta receptora aproximadamente una hora después de la transferencia. Desde entonces, todos los exchanges han suspendido los depósitos y retiros de QUBIC.
Actualización de seguridad implementada
La generación de semillas se corrigió en la versión 4.26.4. A partir de ahora, ya no se pueden crear semillas débiles. Cualquier decisión sobre los fondos congelados y las billeteras afectadas corresponde al quórum de Computors, de acuerdo con las propias reglas de la red. El equipo Core está identificando todas las billeteras afectadas y preparando opciones para que el quórum las considere. Actualmente hay una encuesta abierta en Discord para que los Computors puedan conocer claramente la postura de la comunidad antes de tomar una decisión.
Qué deben hacer los usuarios afectados
Presenta una denuncia ante la policía o las autoridades de ciberdelincuencia de tu país. Incluye el ID de tu billetera, el monto perdido y el enlace de la transacción en Qubic. Además, una denuncia formal ayuda a mantener congelados los fondos en los exchanges y a respaldar cualquier proceso de recuperación.
Es importante destacar que nadie de Qubic te escribirá primero, te pedirá la semilla ni te ofrecerá servicios de recuperación a cambio de dinero. Si recibes un mensaje de este tipo, denúncialo de inmediato. Una vez resuelto el proceso de recuperación, se publicará un informe técnico completo.
Lo más destacado del mercado cripto
SUI afronta una nueva presión vendedora: una caída del 4 % pone a los alcistas a la defensiva