Qubic ha reiniciado su blockchain de capa 1 y ha comenzado a devolver fondos a los propietarios de billeteras verificados después de que una vulnerabilidad en la generación de semillas permitiera a un atacante drenar aproximadamente $1.4 millones en tokens QU de 1,404 cuentas.
Resumen
- Qubic ha reanudado las operaciones de la blockchain después de que una vulnerabilidad en la billetera provocara el robo de aproximadamente $1.4 millones en tokens QU.
- El quórum de Computors del proyecto aprobó un acuerdo de recuperación, y Qubic afirma que los fondos iniciales han llegado a los propietarios verificados.
- El ataque de octubre afectó a 1,404 billeteras e involucró aproximadamente 2.94 billones de QU.
- Los usuarios que crearon billeteras web antes de la versión 4.26.4 deben generar nuevas billeteras, incluso si sus saldos no se vieron afectados.
- Los titulares afectados pueden presentar reclamaciones de recuperación hasta el 1 de mayo de 2027, utilizando el portal oficial del proyecto.
En un anuncio de recuperación del 20 de octubre en X, Qubic dijo que su quórum de Computors aprobó los acuerdos de recuperación, permitiendo que la red reanudara sus operaciones normales y abriendo un proceso de reclamación para los usuarios afectados. Los fondos iniciales ya se habían devuelto, aunque el proyecto no reveló cuánto se había pagado ni cuántas reclamaciones se habían aprobado.
La cadena reanudó el procesamiento después de una detención impuesta el 18 de octubre para evitar que se movieran más tokens robados. Los usuarios afectados tienen hasta el 1 de mayo de 2027 para presentar reclamaciones a través de la plataforma de recuperación designada del proyecto.
Los Computors aprueban la recuperación de Qubic tras la detención de la red
El ataque ocurrió entre finales del 17 de octubre y principios del 18 de octubre, según la actualización de seguridad anterior de Qubic. Un atacante accedió a billeteras generadas con semillas de recuperación insuficientemente aleatorias, obteniendo aproximadamente 2.94 billones de QU.
Qubic detuvo la blockchain en el tick 85,371,949. La pausa dio a los operadores tiempo para restringir las transferencias mientras el equipo investigaba las direcciones afectadas y preparaba una propuesta de recuperación para los Computors, los participantes responsables de las decisiones de consenso.
El proyecto estimó anteriormente que el 87.1% de los tokens robados permanecían en la red cuando se detuvo. El otro 12.9% había llegado al exchange de criptomonedas MEXC, que Qubic dijo que congeló la cuenta receptora en aproximadamente una hora.
Como crypto.news informó anteriormente, la respuesta inicial dejó la cadena suspendida mientras los operadores consideraban cómo recuperar los activos. En esa etapa, el plan de recuperación no había recibido aprobación.
El anuncio del 20 de octubre confirmó que la votación del quórum ya se había llevado a cabo. Qubic dijo que los fondos afectados se trasladaron a un escrow protegido durante el cierre, permitiendo los reembolsos a los propietarios verificados.
Su explorador de blockchain proporciona una referencia a ticks más allá del punto de detención original. La hora exacta de reinicio no pudo establecerse de forma independiente a partir del texto de acceso público del explorador.
Las semillas de billeteras Qubic más antiguas siguen siendo vulnerables tras la corrección del software
La vulnerabilidad concernía a la generación de semillas de billeteras, no a un compromiso reportado del mecanismo de consenso de la blockchain. La aleatoriedad insuficiente hacía que algunas frases de recuperación fueran predecibles, lo que potencialmente permitía a un atacante reconstruir las credenciales que controlaban las cuentas afectadas.
La actualización original del incidente de Qubic identificó semillas generadas a través de navegadores en iPhones y iPads, Safari en computadoras Mac y versiones anteriores de su aplicación iOS entre las categorías afectadas.
El consejo más reciente del proyecto es más directo.
“Si creó su billetera con la billetera web de Qubic antes de la versión 4.26.4 (publicada el 19 de octubre), considérela insegura, incluso si sus fondos nunca fueron tocados”, advirtió el equipo.
Qubic mantiene el código oficial de su billetera en GitHub y afirmó que la versión 4.26.4 solucionó la debilidad en la generación de semillas. Sin embargo, actualizar la aplicación no reemplaza una frase de recuperación que fue generada utilizando el software vulnerable.
Los usuarios deben instalar la billetera actualizada, generar una frase de recuperación completamente nueva y transferir sus fondos restantes a la nueva dirección. Seguir usando una semilla antigua dejaría las mismas credenciales expuestas.
Una investigación de seguridad de Ledger separada de octubre identificó un implante de hardware no autorizado en un dispositivo afectado. A diferencia de la debilidad relacionada con el software de Qubic, ese caso involucró una sospecha de manipulación física de una billetera distribuida a través de un revendedor.
Las reclamaciones de recuperación requieren pruebas más allá de las firmas de la billetera
La plataforma oficial de recuperación de fondos de Qubic permite a los usuarios afectados verificar una dirección, enviar una reclamación y hacer seguimiento de su estado.
Los reclamantes necesitan su identidad de origen comprometida, una identidad de destino recién generada, un mensaje firmado y prueba de propiedad que lo respalde.
El portal explica que las firmas de la billetera por sí solas no pueden resolver disputas de propiedad porque un atacante que pueda reproducir una semilla comprometida podría generar la misma firma válida.
La evidencia de respaldo puede incluir recibos de retiro de exchanges, registros de transacciones privadas o un rastro de fondos desde otra billetera demostrablemente controlada por el reclamante. La verificación de identidad opcional está disponible, pero la plataforma indica que no es obligatoria.
Qubic advirtió a los usuarios contra suplantadores que ofrecen asistencia a través de mensajes privados. El equipo afirmó que nunca solicitará frases de recuperación ni iniciará mensajes directos pidiendo a los usuarios que presenten reclamaciones.
Fallos anteriores en las semillas de billeteras muestran por qué la migración es necesaria
La generación débil de semillas ha afectado a otras billeteras de criptomonedas. En julio de 2026, Coldcard reveló un problema de aleatoriedad relacionado con el firmware que, según se informó, expuso cientos de billeteras de Bitcoin.
El informe anterior del incidente de Qubic analizó ese caso junto con la vulnerabilidad de Libbitcoin Explorer de 2023, que permitió a los atacantes predecir ciertas semillas de billeteras.
En cada caso, reemplazar el software vulnerable no hizo automáticamente seguras las credenciales generadas previamente. Qubic dijo que publicará a continuación un informe técnico completo sobre su incidente de octubre.
