El hackeo de 1 404 carteras de Qubic fue posible debido a frases de recuperación generadas con una aleatoriedad insuficiente, y no a una vulnerabilidad de la propia blockchain. En menos de dos horas, el atacante robó aproximadamente 2,94 billones de QU. Después, los validadores suspendieron las transacciones para bloquear los fondos que aún permanecían en la red, mientras el equipo de Qubic identificaba las cuentas afectadas y preparaba propuestas para someterlas al quorum.
Una vulnerabilidad en la creación de las carteras, no en el protocolo
Qubic atribuyó el incidente a la generación de semillas de cartera predecibles. Una semilla, o frase de recuperación, permite crear y restaurar las claves que dan acceso a los fondos de una cartera. Si no se genera con suficiente aleatoriedad, un tercero puede, en determinadas circunstancias, adivinar o calcular la información necesaria para tomar el control de los activos asociados.
Según el equipo del proyecto, el problema estaba en la forma en que se creaban algunas semillas en determinados dispositivos y con ciertos programas. Por ello, Qubic distinguió esta vulnerabilidad de una vulneración de su protocolo o de su mecanismo de consenso. En otras palabras, el ataque se dirigió contra las carteras afectadas por un método de generación defectuoso, y no contra la blockchain en su conjunto.
Esta distinción es importante: una blockchain puede seguir aplicando correctamente sus reglas mientras registra operaciones realizadas con las claves de una cartera comprometida. El registro no puede saber por sí solo si quien firma una transacción es el propietario legítimo o un hacker que ha obtenido acceso a su semilla. Comprueba que la transacción sea válida según las reglas de la red.
Los dispositivos y las semillas potencialmente afectados
Qubic informó de que las semillas generadas antes del 18 de octubre de 2026 en un navegador utilizado en un iPhone o iPad podían ser vulnerables. El problema también afectaba a las semillas creadas con Safari en Mac antes de esa fecha. Además, el equipo identificó que las semillas generadas por la aplicación de Qubic en iOS antes de julio de 2025 podían estar afectadas.
Estas indicaciones no significan que necesariamente se hayan vaciado todas las carteras creadas en esos dispositivos. Más bien delimitan las circunstancias en las que una semilla podría haberse generado con una aleatoriedad insuficiente. Por tanto, el impacto dependía de la cartera afectada y de la posibilidad de que el atacante averiguara la información de recuperación correspondiente.
La versión 4.26.4 de la aplicación de Qubic corrige el proceso de creación e impide, según el proyecto, que se generen nuevas semillas vulnerables. Una actualización puede reducir el riesgo para las nuevas carteras creadas con el programa corregido, pero no modifica automáticamente las claves de una cartera existente. Por ello, los titulares afectados deben seguir las instrucciones oficiales del proyecto para proteger sus fondos y, si corresponde, crear una cartera nueva con una semilla segura.
Un robo ejecutado en menos de dos horas
Según la cronología publicada por Qubic, la actividad maliciosa comenzó el 17 de octubre a las 23:42 UTC y terminó el 18 de octubre a la 1:26 UTC. En ese periodo de menos de dos horas, el atacante tomó el control de 1 404 carteras y transfirió aproximadamente 2,94 billones de QU.
Durante el incidente, el hacker pudo iniciar transacciones utilizando los accesos asociados a las carteras comprometidas. La blockchain procesó esas operaciones como transacciones válidas porque estaban firmadas con las claves correspondientes. Así puede producirse un robo sin que el atacante tenga que modificar el código de la red, controlar a los validadores ni reescribir el historial de bloques.
Qubic calculó el valor de los activos robados en aproximadamente 1,29 millones de dólares, según la cotización indicada en su informe. Esta estimación varía con el precio del token y no representa necesariamente el valor que se puede recuperar efectivamente. La posibilidad de mover, intercambiar o congelar los fondos también depende de dónde se encuentren y de las medidas que adopten las plataformas implicadas.
Por qué la blockchain no fue comprometida
La exposición de las claves puede bastar para autorizar transferencias
Las redes basadas en pruebas criptográficas utilizan claves privadas para autorizar los movimientos de fondos. La blockchain confirma que una firma corresponde a la clave pública de la cartera y que la transacción respeta las reglas del protocolo. Por lo general, no puede determinar si la clave la ha utilizado su propietario o si se ha obtenido de forma fraudulenta.
En el caso de Qubic, la explicación planteada por el proyecto se refiere a la calidad de la generación de las semillas. Si son predecibles, un atacante puede potencialmente deducir las claves asociadas y firmar transacciones sin necesidad de explotar una vulnerabilidad en el consenso. La red sigue funcionando según lo previsto: valida firmas correctas aunque quien las produzca no sea el titular legítimo de la cartera.
Este tipo de incidente se diferencia de un ataque contra la propia blockchain. Un compromiso del protocolo podría implicar, por ejemplo, una modificación de las reglas de validación o la toma de control de los mecanismos que determinan el orden de las transacciones. Por el contrario, Qubic indicó que el origen del problema estaba en el proceso de creación de las semillas de algunas carteras.
La suspensión de la red para retener los fondos
Tras detectar el hackeo, los Computors de Qubic coordinaron una suspensión en el bloque 85 371 949. La medida interrumpió las transacciones en la red para limitar los movimientos posteriores y mantener inmovilizados los activos robados que aún permanecían en el ecosistema.
La pausa no significa que los fondos se hayan devuelto automáticamente a sus propietarios. Su objetivo es, más bien, impedir nuevas operaciones mientras el proyecto evalúa la situación. Según la comunicación del equipo, cualquier decisión sobre los pasos siguientes depende de las reglas de gobernanza de Qubic y de una votación del quorum de Computors.
Esta respuesta también muestra la diferencia entre el funcionamiento técnico de una blockchain y las medidas de gobernanza que pueden adoptarse cuando se produce un incidente. La suspensión fue coordinada por los participantes responsables del funcionamiento de la red; no constituye por sí misma una prueba de que se hubiera hackeado el protocolo original. Sin embargo, afecta a los usuarios, ya que bloquea las transferencias durante el periodo de interrupción.
La mayoría de los fondos sigue en la red
Qubic indicó que el 87,1 % de los activos robados seguía en la red en el momento de publicar su informe. Esa proporción representaba la parte de los fondos que la suspensión podía ayudar a inmovilizar. La situación del resto de los activos era distinta: aproximadamente el 12,9 % había llegado a MEXC.
Según Qubic, la plataforma de intercambio congeló la cuenta receptora en menos de una hora. La congelación de una cuenta centralizada puede impedir que se realicen nuevos retiros de los activos depositados en una plataforma, con sujeción a los procedimientos de esta. Sin embargo, por sí sola no permite recuperar los fondos que permanecen en la blockchain o que se hayan transferido a otros destinos.
Varias plataformas también suspendieron los depósitos y retiros de QUBIC. Estas restricciones pueden limitar los movimientos entre las cuentas de intercambio y la red mientras se analiza el incidente. No modifican la titularidad registrada en la blockchain, pero reducen temporalmente la capacidad de los usuarios para mover sus tokens a través de los servicios afectados.
El papel del quorum en la respuesta de Qubic
El equipo principal de Qubic se puso a identificar las carteras afectadas y a preparar propuestas para el quorum. El proyecto aclaró que la resolución del caso debía corresponder a una decisión colectiva de los Computors y respetar las reglas de la red.
Este enfoque deja varias etapas pendientes: determinar el alcance de las pérdidas, distinguir las carteras realmente afectadas de aquellas que simplemente estuvieron expuestas a un método de generación vulnerable y examinar las opciones para gestionar los fondos inmovilizados. La información comunicada por el proyecto no permite dar por hecha una recuperación completa ni una indemnización.
Por tanto, los titulares afectados se enfrentan a dos cuestiones distintas: proteger sus futuros accesos y esperar las decisiones de la gobernanza sobre los activos robados. La corrección del proceso de generación de semillas aborda la primera cuestión para la creación de nuevas carteras, mientras que el quorum y las plataformas implicadas intervienen en la gestión de los fondos relacionados con el hackeo.
La reacción del mercado tras el incidente
El precio de QUBIC cayó un 5,2 % en 24 horas, hasta situarse en torno a 0,0000004394 dólares, según los datos publicados por BeInCrypto Markets. En el mismo periodo, el mercado de criptomonedas en su conjunto bajó un 2,8 %. Así pues, la caída del token fue más pronunciada que la del mercado general, mientras los inversores reaccionaban a las noticias sobre las carteras comprometidas y la suspensión de las transacciones.
Una caída del precio no mide directamente el importe de las pérdidas ni el alcance técnico de un ataque. Refleja, entre otros factores, la incertidumbre sobre la duración de la interrupción, la decisión que tomará el quorum y la posibilidad de reanudar los movimientos de fondos. Además, las cifras del mercado fluctúan y pueden cambiar rápidamente tras un anuncio de seguridad.
El incidente de Qubic ocurrió el mismo día que otro suceso del sector: el bridge cross-chain de Cysic se vio afectado por la creación no autorizada de 10 millones de tokens CYS en BNB Smart Chain. Estos ataques distintos alimentaron la preocupación por la seguridad de las infraestructuras cripto en octubre, pero se basan en mecanismos diferentes y no permiten, por sí solos, extraer conclusiones comunes sobre sus causas.
