La cadena de bloques de Qubic se pausó el 18 de octubre después de que un atacante vaciara 1.404 billeteras con unos 2,94 billones de QU, valorados en aproximadamente entre 1,3 y 1,4 millones de dólares, según la fuente.
Qubic afirma que la causa fueron las semillas débiles y predecibles de las billeteras, creadas en dispositivos Apple, y no un fallo en el protocolo de la red. La pausa de emergencia impidió que se moviera la mayor parte de los fondos robados, y MEXC congeló la parte que llegó a su plataforma.
Qué ocurrió
Según el comunicado oficial de Qubic en X, el atacante vació las billeteras entre las 23:42 UTC del 17 de octubre y la 01:26 UTC del 18 de octubre, un período de unos 104 minutos. Los validadores de la red, conocidos como Computors, coordinaron una pausa preventiva en el tick 85,371,949. Al no procesarse transacciones, los fondos sustraídos no pueden transferirse ni venderse mientras el equipo trabaja en una solución.
Qubic dijo que el 87,1 % de los tokens sustraídos (unos 2,56 billones de QU) nunca salió de la red y sigue congelado. El otro 12,9 % (unos 379.000 millones de QU) se envió a MEXC, cuyo equipo congeló la cuenta receptora en aproximadamente una hora. Se notificó a los exchanges, que suspendieron los depósitos y retiros de QUBIC. MEXC dijo que la pausa fue solicitada por el equipo del proyecto, y Bitget suspendió los depósitos y retiros alegando tareas de mantenimiento de la cartera.
La causa: falta de aleatoriedad
Qubic dijo que algunas semillas de cartera se generaron con aleatoriedad insuficiente, lo que las hizo más débiles de lo debido, y que el atacante aprovechó esta vulnerabilidad para acceder a las carteras. Una semilla es el secreto del que se derivan las claves de una cartera; por lo tanto, si se puede predecir, también se pueden predecir las claves. El proyecto recalcó que el problema estaba en la generación de semillas, no en el protocolo de Qubic en sí.
Las semillas están afectadas si se crearon: – en un iPhone o iPad, con cualquier navegador, antes del 18 de octubre de 2026 – en una Mac con Safari, antes del 18 de octubre de 2026 – en la aplicación de Qubic para iOS, antes de julio de 2025
El equipo corrigió la generación de semillas en la versión 4.26.4, publicada el 18 de octubre, por lo que ya no se pueden crear nuevas semillas débiles. La corrección no fortalece las semillas que ya existen, así que las carteras creadas en los entornos afectados siguen en riesgo hasta que sus fondos se trasladen a una cartera creada con el software corregido.
Qué ocurrirá con los fondos congelados
Qubic dijo que cualquier resolución es una decisión que corresponde al quórum de Computors, conforme a las reglas de la propia red. El equipo central está identificando todas las identidades afectadas y preparando opciones para el quórum, y hay una encuesta comunitaria abierta en Discord para que los Computors puedan conocer la opinión de los usuarios. El diseño de Qubic utiliza 676 Computors y las decisiones de la red requieren una supermayoría, por lo que el resultado dependerá de una votación de validadores, no de la decisión de una sola empresa.
Qué deben hacer los usuarios afectados
Qubic recomendó a todas las personas que perdieron fondos que presenten una denuncia ante la policía o las autoridades de ciberdelincuencia de su país e incluyan el ID de la cartera, la cantidad perdida y el enlace de la transacción en explorer.qubic.org. Las denuncias formales ayudan a los exchanges a mantener los fondos congelados.
Los analistas también advierten que cabe esperar estafas de «servicios de recuperación». Qubic afirma que nunca escribirá primero a los usuarios, pedirá una semilla ni cobrará por recuperar fondos. Como recomendación general, cualquiera que haya creado una cartera de Qubic en los entornos afectados debería considerar que esa semilla está comprometida y trasladar los fondos a una cartera nueva, creada con software actualizado, cuando se reanude la red.
Quién está detrás de Qubic
Qubic se describe como una red descentralizada que combina la cadena de bloques con la computación de IA. Fue creada por Sergey Ivancheglo, conocido como Come-from-Beyond, quien también cofundó IOTA y NXT. Su «prueba de trabajo útil» dirige la potencia de minería al entrenamiento de redes neuronales, y las transferencias normales no tienen comisión.
Un patrón de fallos conocido
Este ataque pertenece a la misma categoría que el incidente de la cartera de hardware Coldcard ocurrido a principios de este año, en el que frases semilla predecibles permitieron a los atacantes reconstruir las claves privadas sin conexión. En ambos casos, la criptografía no fue vulnerada. Faltó la aleatoriedad que debía proteger la semilla. La seguridad de la autocustodia depende de confiar en que el software de la cartera genera semillas verdaderamente aleatorias, algo que los usuarios prácticamente no pueden comprobar por sí mismos.
El panorama general: hackeos en 2026
La pérdida de Qubic es pequeña para los estándares de 2026, pero ha sido un año duro:
– CertiK contabiliza entre 656 y 658 incidentes de seguridad y pérdidas de aproximadamente 2.680 millones de dólares hasta septiembre, de los cuales unos 420,4 millones fueron congelados o devueltos, lo que deja un total ajustado de unos 2.260 millones. Las cifras varían según el rastreador: Finbold sitúa el total acumulado del año cerca de los 2.100 millones de dólares. – TRM Labs registró 972 millones de dólares en 207 hackeos durante el primer semestre, y CertiK contabilizó 1.260 millones en 247 incidentes durante el tercer trimestre. – Septiembre fue el peor mes: PeckShield contabilizó 55 hackeos importantes y 766,5 millones de dólares robados. Los incidentes más grandes fueron el hackeo del exchange Bitget (387,5 millones de dólares), Liquid Network (unos 320 millones, la mayoría devueltos), KelpDAO (unos 292 millones) y Drift (unos 285 millones). – Los robos vinculados a Corea del Norte superaron los 1.000 millones de dólares este año, según Elliptic. Bitcoin subió un 40 % en el tercer trimestre pese al aumento de los hackeos, lo que recuerda que los problemas de seguridad han persistido junto con el repunte del mercado.
Qué viene ahora
La red sigue en pausa. Los acontecimientos clave que habrá que seguir son la votación de los Computors sobre los fondos congelados, la fecha de reinicio y si los exchanges reanudan los depósitos y retiros de QUBIC. Los usuarios cuyas semillas se generaron con dispositivos Apple deberían planificar la migración en cuanto sea seguro hacerlo.