Qubic: monederos con secretos predecibles en el centro del incidente

Un incidente que afecta a los secretos de recuperación

Qubic publicó el 18 de octubre de 2026 un balance de un incidente que afectó a 1 404 monederos. Según el equipo, un atacante los vació entre las 23:42 UTC del 17 de octubre y la 1:26 UTC del 18 de octubre, por un total aproximado de 2 940 mil millones de QU. El origen anunciado se refiere a la generación de ciertos secretos de recuperación, con un nivel de aleatoriedad insuficiente. El problema descrito no debe resumirse, por tanto, como un cambio de las reglas de consenso ni como una capacidad para descifrar todos los monederos de la red.

Un secreto de recuperación debe ser difícil de adivinar, incluso cuando se conoce el método utilizado para generarlo. Si su generación deja solo un conjunto reducido de posibilidades, un atacante puede buscar combinaciones con más eficacia de la prevista. La longitud aparente del secreto no basta para establecer su solidez. También debe considerarse la calidad de la aleatoriedad utilizada al crearlo. Una transacción firmada con un secreto comprometido puede ser reconocida después por la red, sin que la blockchain pueda saber que la firma procede de un atacante.

Entornos identificados por el equipo

En su hilo explicativo, Qubic señala los secretos creados en iPhone o iPad mediante un navegador antes del 18 de octubre de 2026, los generados en Mac con Safari antes de esa fecha y los procedentes de la aplicación iOS Qubic antes de julio de 2025. Este es el perímetro comunicado por el proyecto. No permite afirmar que todo dispositivo Apple esté comprometido ni que todos los usuarios de los entornos citados hayan perdido realmente fondos. Evaluar un monedero concreto depende especialmente de cómo se generó su secreto.

Qubic también afirma haber corregido la generación en la versión 4.26.4. Sin embargo, debe distinguirse una corrección del software de la protección de secretos creados anteriormente. Cambiar el mecanismo que produce nuevos secretos no transforma retroactivamente un antiguo secreto débil en uno robusto. Del mismo modo, observar tokens en una dirección no demuestra que el acceso siga siendo exclusivo de su propietario legítimo. La seguridad del medio de firma es una cuestión distinta del saldo mostrado en una interfaz o un explorador.

Contención y restitución son etapas separadas

El equipo indica que los operadores de la red coordinaron una parada protectora. En su balance del 18 de octubre, presentaba el 87,1 % de los fondos sustraídos como todavía contenidos en Qubic y el 12,9 % restante como enviado a MEXC, donde supuestamente se había congelado la cuenta receptora. Esta información describe la situación anunciada en esa fecha. No debe transformarse en confirmación de reembolso, retorno de la red a la normalidad ni recuperación definitiva de activos por las víctimas.

Bloquear movimientos puede dar tiempo a las investigaciones, pero una restitución requiere decisiones y operaciones diferentes. Qubic explica que la resolución corresponde al cuórum de sus operadores, conforme a las reglas de la red. Los anuncios posteriores deberán precisar las medidas realmente adoptadas, su ejecución y el destino de los monederos afectados. Para entender el incidente, deben mantenerse separados tres niveles: el fallo inicial de generación, las medidas de contención anunciadas y los resultados del procedimiento de resolución.