Qubic detiene su red tras el vaciado de 1.404 billeteras creadas con semillas de baja aleatoriedad

Los validadores de Qubic, una red de bloques orientada a cómputo para IA, detuvieron por completo el procesamiento de transacciones después de que un atacante vaciara 1.404 billeteras en un lapso de una hora y 44 minutos, entre el 17 y el 18 de octubre. Según la actualización publicada por el proyecto en su cuenta oficial, el botín asciende a unos 2,94 billones de QU, el token nativo de la red, que la prensa especializada valoró entre 1,3 y 1,4 millones de dólares. La causa, explica Qubic, no está en el protocolo sino en la forma en que se generaban las semillas de algunas billeteras, con una aleatoriedad insuficiente que las hacía más débiles de lo que debían ser.

En Qubic, una semilla es la cadena secreta de 55 letras minúsculas de la que se deriva la identidad y el control de una billetera: quien la conoce, controla los fondos. Si cada letra se eligiera con un generador criptográficamente seguro, el espacio de semillas posibles sería de 26 elevado a 55, unos 258 bits de entropía según un cálculo propio, imposible de recorrer por fuerza bruta. El problema aparece cuando el generador es predecible y reduce de forma drástica ese espacio en la práctica.

El cambio publicado en el repositorio público de la billetera web muestra el origen. Hasta la versión 4.26.3, las funciones de creación de billeteras y de edición de semillas construían cada letra con Math.random(), la función estándar de JavaScript que la documentación de MDN describe expresamente como no apta para usos de seguridad. La versión 4.26.4, fechada el 18 de octubre, sustituye ese código por una función que obtiene bytes de crypto.getRandomValues(), la interfaz de la Web Crypto API recomendada para estos casos, aplica muestreo por rechazo descartando los valores de 234 a 255 para que todas las letras tengan la misma probabilidad, y se niega a generar una semilla si el navegador no ofrece una fuente segura.

Qubic acotó las semillas afectadas a las creadas en cualquier navegador de iPhone o iPad antes del 18 de octubre de 2026, en Safari para Mac antes de esa misma fecha y en la aplicación de Qubic para iOS antes de julio de 2025. El proyecto no ha detallado por qué la debilidad se manifestó solo en esas plataformas. Como análisis, la lista coincide con el ámbito del motor WebKit de Apple, que ha sido la base de los navegadores en iOS, aunque la explicación técnica queda pendiente del informe completo que Qubic prometió publicar cuando concluya la recuperación.

Para contener el daño, los Computors, los operadores que validan la red, coordinaron una parada de protección en el tick 85.371.949, la unidad de avance de Qubic. Con la red detenida, el 87,1 % de lo sustraído nunca salió de Qubic y permanece inmovilizado. El 12,9 % restante llegó a la plataforma de intercambio MEXC, cuyo equipo congeló la cuenta receptora en aproximadamente una hora, según el proyecto, y otras plataformas suspendieron depósitos y retiros de QUBIC tras ser notificadas.

La resolución corresponde ahora al quórum de Computors, conforme a las reglas de la red. El equipo central está identificando todas las identidades afectadas y preparando opciones para esa votación, y abrió una encuesta comunitaria en Discord. Mientras tanto, Qubic pidió a los afectados que denuncien ante la policía o las autoridades de ciberdelincuencia de su país, porque esos reportes ayudan a que las plataformas mantengan congelados los fondos. También advirtió que nadie del proyecto contactará primero a los usuarios, pedirá semillas ni ofrecerá recuperación a cambio de dinero.

Hay un matiz importante para los usuarios. Qubic afirma que ya no pueden crearse semillas débiles, pero la corrección actúa sobre la generación y no cambia las semillas existentes, de modo que, a juicio de esta redacción, quien haya creado una en las plataformas señaladas debería trasladar sus fondos a una semilla nueva en cuanto la red vuelva a aceptar transacciones.

Más allá de Qubic, el incidente recuerda que la generación de claves en el navegador debe apoyarse en la Web Crypto API, nunca en generadores de propósito general.

Fuentes: Qubic en X, versión 4.26.4 de qubic/wallet y documentación de MDN.