Semillas débiles, 1404 billeteras vaciadas: Qubic congela toda su blockchain para retener la mayor parte de los cerca de 1,3 millones de dólares en tokens robados

Qubic, una blockchain (cadena de bloques) de capa 1 cuyo trabajo de minería se usa para entrenar modelos de IA, ha detenido su red para frenar a un ladrón. Un atacante vació 1404 billeteras de usuarios de unos 2,94 billones de QU durante aproximadamente una hora y tres cuartos a partir de la noche del sábado (UTC), por un valor de entre 1,3 y 1,4 millones de dólares según el medio, y los validadores detuvieron la cadena en el tick 85.371.949 para congelar lo que aún no había salido, según Cointelegraph, Crypto Briefing y Tech Report.

La debilidad estaba en la forma en que algunas billeteras generaban sus semillas, no en la cadena. Qubic dijo que las semillas generadas en cualquier navegador de un iPhone o iPad, en Safari en una Mac hasta el 18 de octubre o en la aplicación de Qubic para iOS antes de julio de 2025 eran predecibles. Un commit en GitHub para la versión 4.26.4 del cliente sustituye Math.random() de JavaScript, que nunca se diseñó para secretos, por crypto.getRandomValues(), informó Cointelegraph. El equipo dijo que puso a salvo otros fondos expuestos antes de que pudieran ser sustraídos y que su función de staking QEARN no se vio afectada.

Qubic afirma que el 87,1 % de los fondos sustraídos nunca salió de su red y sigue congelado en su lugar, según Cointelegraph y Crypto Briefing. El 12,9 % restante fue a MEXC, que congeló la cuenta receptora en aproximadamente una hora. MEXC y Bitget han suspendido los depósitos y retiros de QUBIC.

Lo que venga después depende de los Computors, los operadores que gestionan la red: el equipo central prepara opciones de recuperación y los Computors votarán qué pasa con los fondos congelados, incluido si se compensa a las víctimas; seguirá un informe técnico completo y no hay fecha de reinicio. Se ha pedido a los usuarios afectados que presenten denuncias ante la policía. Es el segundo incidente de Qubic este año, tras el exploit del Vottun Bridge en agosto; el valor de mercado del token era de unos 62,6 millones de dólares el domingo, según datos de CoinGecko citados por Cointelegraph.