Qubic ha detenido su blockchain de capa 1 después de que un atacante explotara una falla de seguridad en una billetera para robar aproximadamente 2,94 billones de tokens QU por un valor de 1,4 millones de dólares de más de 1.400 cuentas.
Resumen
- Qubic detuvo su blockchain después de que los atacantes explotaran semillas de recuperación de billeteras débiles para robar aproximadamente 1,4 millones de dólares de más de 1.400 cuentas.
- Aproximadamente el 87,1% de los tokens robados permanecen congelados en la red, mientras que MEXC restringió una cuenta que recibió los fondos restantes.
- Los desarrolladores han corregido la falla en la generación de semillas de billeteras, pero las billeteras afectadas anteriormente pueden seguir siendo vulnerables.
- Los operadores de la red aún no han aprobado un plan de recuperación, y Qubic no ha anunciado cuándo se reanudarán las operaciones de la blockchain.
Según una declaración del 18 de octubre del equipo central de Qubic, el atacante se dirigió a billeteras cuyas semillas de recuperación habían sido generadas con aleatoriedad insuficiente, dejando sus claves privadas vulnerables a ser descubiertas.
La red fue suspendida en el tick 85.371.949 para evitar un mayor movimiento de los tokens robados. Qubic dijo que el 87,1% de los fondos robados permanecían dentro de la red cuando se detuvieron las operaciones, mientras que el 12,9% restante había llegado al exchange de criptomonedas MEXC.
El exchange congeló la cuenta receptora en aproximadamente una hora, según el proyecto.
Qubic no ha anunciado cuándo se reanudarán las operaciones de su blockchain, y la recuperación de los activos robados está a la espera de una decisión de sus operadores de red, conocidos como Computors.
La vulnerabilidad de la billetera de Qubic se remonta a una generación débil de semillas
El ataque explotó una falla en la forma en que ciertas billeteras de Qubic generaban las semillas de recuperación, que se utilizan para derivar las claves privadas que controlan las tenencias de criptomonedas.
La aleatoriedad débil durante la generación de semillas puede hacer que las claves privadas sean más fáciles de reconstruir, permitiendo a un atacante acceder a una billetera sin obtener su frase de recuperación directamente del propietario.
Qubic identificó varias categorías de billeteras afectadas según el dispositivo, el navegador y la aplicación utilizados cuando se creó la semilla de recuperación.
Las billeteras generadas a través de cualquier navegador en un iPhone o iPad antes del 18 de octubre de 2026 se vieron afectadas, junto con las semillas creadas a través de Safari en computadoras Mac antes de la misma fecha.
La vulnerabilidad se extendió a las semillas generadas a través de la aplicación Qubic para iOS antes de julio de 2025.
El proyecto dijo que el problema se originó en su software de billetera y no implicó un compromiso del protocolo de blockchain subyacente.
Los desarrolladores han corregido desde entonces la falla de generación de semillas en la versión 4.26.4 de la billetera web, según la actualización de seguridad del proyecto.
El cambio reportado reemplazó la función Math.random() de JavaScript con crypto.getRandomValues(), que está diseñada para generar valores aleatorios criptográficamente seguros.
Math.random() de JavaScript no está destinada a generar claves privadas u otros secretos criptográficos porque su salida no proporciona las garantías de seguridad requeridas para tales operaciones.
Aunque la corrección aborda el método utilizado para generar nuevas semillas de billeteras, el proyecto no ha establecido que las frases de recuperación creadas con el software vulnerable sean seguras.
Qubic dijo que publicaría una investigación técnica completa después de que se haya resuelto su plan de recuperación.
Qubic congela los tokens robados mientras los exchanges suspenden las transferencias
La detención de la red ha dejado la mayor parte de los tokens robados congelados mientras el equipo de desarrollo examina las billeteras afectadas y prepara propuestas de recuperación.
Según las cifras reportadas por Qubic, aproximadamente 2,56 billones de QU permanecían en la blockchain cuando se detuvo el procesamiento de transacciones.
MEXC suspendió posteriormente los depósitos y retiros de QUBIC a petición del proyecto. La restricción impidió a los clientes mover tokens a través de la red afectada mientras se investigaba el incidente.
El exchange de criptomonedas XT introdujo una suspensión similar el 18 de octubre, citando actualizaciones y mantenimiento de billeteras. El anuncio abarcó los servicios de depósito y retiro en las redes QUBIC y KASPLEX.
Aunque las restricciones impidieron las transferencias a través de esos servicios, Qubic no ha confirmado que ninguno de los tokens robados haya sido devuelto a sus propietarios originales.
El equipo central está identificando las billeteras comprometidas y preparando propuestas de recuperación para una votación por parte de los Computors de la red.
Los Computors participan en el proceso de consenso de Qubic y decidirán cómo deben manejarse los fondos congelados bajo los acuerdos de recuperación propuestos.
El proyecto no ha anunciado si la recuperación implicaría revertir transferencias no autorizadas, devolver los tokens congelados mediante otro mecanismo o compensar a los usuarios afectados por separado.
No se ha aprobado ningún plan de recuperación final.
Fallos anteriores en las semillas de billeteras provocaron millones en pérdidas de criptomonedas
El exploit de Qubic se produce tras varios incidentes de seguridad de criptomonedas relacionados con debilidades en la generación de semillas de recuperación de billeteras.
En julio de 2026, el fabricante de billeteras de hardware Bitcoin Coldcard reveló una vulnerabilidad de firmware que permitía a los atacantes dirigirse a billeteras cuyas frases de recuperación habían sido generadas utilizando una aleatoriedad insuficiente.
El fallo se remontó a una configuración de firmware introducida en marzo de 2021, que provocó que los dispositivos afectados utilizaran un generador de números aleatorios de software predecible en lugar de su fuente de hardware prevista.
Como crypto.news informó anteriormente, los atacantes robaron aproximadamente 594 BTC por valor de 38 millones de dólares de alrededor de 500 billeteras Coldcard durante un ataque de 25 minutos el 31 de julio.
La vulnerabilidad redujo la entropía efectiva de algunas semillas de billeteras de los 128 bits previstos a aproximadamente 40 bits, dejando las claves privadas afectadas expuestas a intentos de adivinarlas mediante cálculos repetidos.
Coldcard posteriormente lanzó un firmware de billetera actualizado el 20 de agosto, introduciendo salvaguardas adicionales que requerían que los usuarios aportaran su propia aleatoriedad al generar nuevas frases de recuperación.
El fabricante advirtió que instalar el software actualizado no repararía las semillas creadas bajo versiones de firmware vulnerables. Se instruyó a los poseedores afectados a generar nuevas billeteras y transferir su Bitcoin.
Problemas similares habían afectado a otras aplicaciones de billeteras de criptomonedas en años anteriores.
En agosto de 2023, una vulnerabilidad de Libbitcoin Explorer se vinculó al robo de más de 900.000 dólares de usuarios de Bitcoin.
La debilidad, conocida como Milk Sad, implicaba un proceso defectuoso de generación de claves que permitía a los atacantes predecir claves privadas asociadas con ciertas semillas de billeteras.
Los investigadores de seguridad descubrieron que el comando bx seed carecía de suficiente aleatoriedad, lo que potencialmente permitía que la misma semilla de recuperación se generara más de una vez.
Trust Wallet reveló una vulnerabilidad separada en la extensión del navegador en abril de 2023 que afectó a direcciones de billeteras creadas durante un período limitado en noviembre de 2022.
La compañía identificó dos exploits sospechosos que implicaban aproximadamente 170.000 dólares en pérdidas y anunció un proceso de reembolso para los usuarios afectados.
Trust Wallet dijo que el problema había sido solucionado y aconsejó a los poseedores de las direcciones afectadas que transfirieran sus fondos a billeteras recién generadas.
La recuperación de Qubic espera la aprobación del operador de la red
El equipo central de Qubic está trabajando para identificar las cuentas afectadas por el ataque de octubre antes de presentar propuestas de recuperación a sus Computors.
La red opera utilizando Useful Proof of Work, un mecanismo de consenso diseñado para dirigir la computación de minería hacia cargas de trabajo de inteligencia artificial. Su blockchain admite contratos inteligentes y transacciones sin comisiones de transacción convencionales.
En el momento del informe original del incidente, la capitalización de mercado de Qubic era de aproximadamente $62,6 millones, según CoinGecko.
El incidente de seguridad ocurrió durante un período en el que los hackeos y exploits representaron una parte sustancial de las pérdidas reportadas en criptomonedas.
Según el informe de investigaciones de 2026 de AMLBot, los hackeos y exploits representaron el 19% de los casos de delitos con criptomonedas durante el tercer trimestre, pero representaron el 40% de las pérdidas financieras reportadas.
La empresa de investigación de blockchain basó sus hallazgos en 250 investigaciones abiertas desde el comienzo del año.
Qubic dijo que publicaría un informe técnico completo después de que se resolviera el plan de recuperación, mientras que la fecha para reiniciar las operaciones de la red permanecía sin anunciar.
