Hack Qubic : Cómo la red salvó el 87 % de los fondos robados

En la noche del 17 al 18 de octubre, un atacante vació 1 404 carteras Qubic, es decir, 2 940 mil millones de QU. La respuesta siguió en horas: los Computors detuvieron la red, congelando en el lugar el 87,1 % de los fondos robados, y MEXC bloqueó en una hora aproximadamente la cuenta que había recibido el resto. Doce días después, la red vuelve a funcionar, 293 mil millones de QU regresaron del exchange a la cadena y los primeros propietarios verificados han sido reembolsados. La brecha no provenía del protocolo sino de la generación de seeds en ciertos dispositivos Apple, y también afecta a carteras intactas.

¿Qué pasó en la noche del 17 al 18 de octubre?

Un ataque por reconstrucción de seeds, ejecutado con transferencias firmadas completamente ordinarias. Según el reporte publicado por Qubic, algunas seeds se habían generado con entropía insuficiente durante su creación en combinaciones específicas de dispositivo y navegador. Un atacante pudo reproducirlas y luego firmar transferencias válidas desde 1 404 identidades en menos de dos horas. Ninguna transacción fue falsificada, y el núcleo de la red no fue tocado: la brecha está en la cartera, donde nace la seed phrase, no en el consenso.

El importe, 2 940 mil millones de QU, representaba aproximadamente 1,4 millones de dólares al tipo de cambio del 18 de octubre (0,000000477 $ por QU según CoinGecko), lo que lo convierte en un incidente modesto en valor pero amplio en número de víctimas. La reacción fue rápida: los Computors, las 676 máquinas que validan los ticks, coordinaron una parada de la red en el tick 85 371 949. Ya no se procesó ninguna transacción, y el 87,1 % de los fondos aún presentes en ocho direcciones controladas por el atacante quedaron congelados en el lugar.

El 12,9 % restante, es decir, 379 mil millones de QU, se envió en dos transacciones a una única dirección de depósito en MEXC. El exchange congeló la cuenta receptora aproximadamente una hora después de la llegada de los fondos, luego suspendió los depósitos y retiros de QUBIC el 18 de octubre a solicitud de Qubic. Bitget hizo lo mismo ese mismo día, invocando un « mantenimiento de cartera ». Gate.io mencionó una « verificación técnica profunda » antes de cualquier reanudación.

¿Dónde están los fondos hoy?

Bajo custodia en su mayoría, y de regreso a la cadena en la parte que pasó por MEXC. Durante la pausa, los fondos afectados se colocaron en una custodia protegida, según Qubic. El 20 de octubre, el quórum de los Computors aprobó el plan de recuperación, la red se reanudó y Qubic anunció en X que « the Qubic network is live again », especificando que los primeros fondos se habían devuelto a propietarios verificados, sin informar el monto. Se realizó una encuesta comunitaria previa, a modo consultivo: la decisión correspondía al quórum, conforme a las reglas de la red.

El seguimiento se puede verificar en el explorador. El 28 de octubre a las 8:07 UTC, en el tick 87 353 465, 293 039 994 345 QU volvieron a la dirección que los había enviado a MEXC diez días antes (transacción). Esta dirección muestra hoy un saldo cero, coherente con un envío a custodia. Los fondos que regresaron del exchange siguen el mismo proceso de reclamación, pero el portal advierte que este trámite es más lento y depende de la cooperación de las autoridades. Si faltara algún remanente a la llegada, Qubic dice querer cubrirlo con una contribución comunitaria, para reembolsar a cada usuario afectado.

En el mercado, el QUBIC perdió alrededor del 19 % entre el 18 y el 30 de octubre, con una capitalización aproximada de 57 millones de dólares (CoinGecko). Es imposible aislar cuánto de la caída se debe al incidente, que ocurrió en un mercado ya sin apetito por el riesgo.

¿Cómo recuperar sus QU, y quién se reembolsa primero?

A través del portal oficial, y únicamente él: weak-seed-reclaim.qubic.org. La herramienta no mueve fondos, recopila las solicitudes; cada pago es decidido y aplicado por el quórum. Un verificador de direcciones permite primero saber si una identidad está en la lista de direcciones afectadas, sin firma ni justificante. La solicitud se realiza en cinco pasos.

1. Ingresar la identidad afectada y una identidad de destino nueva, creada con una seed segura en una cartera actualizada, nunca reutilizando la antigua.
2. Firmar en la cartera el mensaje mostrado. En ningún momento se ingresa ni envía la seed.
3. Adjuntar pruebas de propiedad y una dirección de correo electrónico de contacto.
4. Conservar el enlace de seguimiento, ya que no se crea ninguna cuenta.
5. Opcionalmente, pasar una verificación de identidad mediante Didit, que solo transmite a Qubic un resultado, no los documentos.

¿Por qué pruebas si se puede firmar? Porque el atacante posee exactamente la misma clave que el propietario: una firma no diferencia a nadie. El portal clasifica las justificantes por fortaleza, desde el recibo de retiro de un exchange hacia la dirección afectada (el más sólido) hasta la confirmación de un acuerdo OTC, pasando por una pista de financiamiento previa al incidente; solo se admite una declaración jurada como apoyo. Los casos simples e incontestados pasan por una vía rápida; los casos disputados, débiles o voluminosos los revisan los desarrolladores del núcleo.

El calendario es conocido. Los primeros retornos, iniciados la semana del 26 de octubre, apuntan a los casos sin dudas: identidades publicadas con firma antes del incidente, OTC confirmables por la contraparte, fondos de proyectos comunitarios conocidos. Siguen tres puntos de control, en diciembre de 2026, febrero de 2027 y abril de 2027, el último cubriendo todas las solicitudes válidas restantes.

Cada solicitud aprobada se exhibe públicamente (dirección y monto) durante siete días antes del pago, y los importes provienen de la instantánea congelada de la cadena, no de lo que ingrese el solicitante. Depositar temprano no aporta nada; una prueba sólida sí. Los bloqueos QEarn volverán en lotes posteriores, y las órdenes QX han sido canceladas. Según Qubic, a fines de octubre se habían recibido más de 230 solicitudes.

¿Qué deben hacer los poseedores que no perdieron nada?

Verificar el origen de su seed y migrar en caso de duda. La corrección de la versión 4.26.4 impide la creación de nuevas seeds débiles, no repara las antiguas. Qubic es explícito: una cartera web creada antes de esta versión debe considerarse insegura, « incluso si sus fondos nunca fueron tocados ». La misma instrucción aplica para los usuarios de la aplicación iOS y la billetera web en iOS, incluso fuera de la lista de direcciones afectadas. Las carteras de la aplicación Android no fueron señaladas y no fue necesario actualizar las apps móviles.

El portal también menciona una lista « en espera » para fondos procedentes de seeds débiles pero no vaciadas, liberados tras verificación. Si su identidad está allí, el procedimiento es el mismo: nueva identidad en una cartera actualizada, luego solicitud en el portal. Y una regla válida para todos los incidentes de este tipo: el equipo Qubic nunca escribe primero por mensaje privado, nunca pide una seed y no cobra ninguna tarifa de recuperación. El soporte es a través de un canal Discord dedicado, gestionado por moderadores; Qubic no tiene sistema de tickets, lo que limita usurpaciones.

Lo que el incidente dice de Qubic

Existen dos interpretaciones, ambas válidas. La primera: una red capaz de detenerse en pocas horas por decisión de sus validadores salvó el 87 % de los fondos, donde una cadena sin esta palanca habría dejado ir todo. Habíamos descrito el papel de los Computors y la prueba de trabajo útil; este episodio muestra el lado operativo. La segunda: esta misma palanca significa que 676 máquinas pueden congelar saldos y reescribir una situación, lo que los detractores de paros de cadena no dejarán de mencionar.

Sobre la causa, Qubic retiene los detalles técnicos hasta el final de la recuperación, para no inspirar copias, y promete un informe completo. La empresa de seguridad SlowMist publicó el 20 de octubre un análisis según el cual el generador de seeds de la cartera se apoyaría en la función Math.random, no criptográfica, cuyos valores pasarían en claro en un encabezado de red; seis valores consecutivos serían suficientes, en su prueba de concepto, para reconstruir el estado del generador. Qubic no ha confirmado este escenario, y su lista de dispositivos afectados, centrada en Safari e iOS, sugiere un factor propio de estas plataformas.

Este es también el segundo incidente de seguridad del año: el 13 de julio, la organización GitHub de Qubic fue comprometida vía un token de acceso, sin pérdida de fondos reportada según el post-mortem publicado al día siguiente.

Los próximos hitos están fijados: informe técnico al final de la recuperación, primer punto de control de reembolsos en diciembre, reapertura a anunciar en Bitget y Gate.io, aún suspendidos al 30 de octubre según Qubic, y cierre de reclamaciones el 1 de mayo de 2027. La pregunta abierta es sencilla: ¿cuántos de los 1 404 propietarios podrán aportar una prueba que el atacante no posee?

La Rédaction C.

El equipo editorial de Cointribune une sus voces para expresarse sobre temas relacionados con las criptomonedas, la inversión, el metaverso y los NFT, esforzándose por responder mejor a sus preguntas.