Durante una hora y cuarenta y cuatro minutos, un atacante recorrió una lista de semillas que podía reconstruir y fue abriendo carteras una detrás de otra. Cuando se detuvo, a la 01:26 UTC del 18 de octubre de 2026, había vaciado 1.404 monederos de Qubic y reunido unos 2,94 billones de QU, cerca de 1,3 millones de dólares al precio de ese momento. Lo que ocurrió después fue aún más inusual: en lugar de perseguir al ladrón, los validadores de la red decidieron congelar la cadena entera para que el botín no pudiera moverse.
La propia Qubic describió el episodio en un hilo de su cuenta oficial, publicado la mañana del 18 de octubre. En su anuncio de incidente de seguridad, el equipo fue directo: la falla estaba en la generación de semillas, no en el protocolo Qubic en sí. Algunas semillas de recuperación se habían creado con aleatoriedad insuficiente, y eso bastó para que un tercero accediera a las carteras afectadas sin tocar el código de la blockchain.
La semilla, no el protocolo
Una semilla es la cadena de caracteres de la que una cartera deriva todas sus claves privadas. En Qubic se trata de una secuencia de 55 letras minúsculas: quien la conoce controla el saldo, sin contraseña y sin dispositivo. Si el software que genera esas letras no extrae una aleatoriedad real, el atacante no tiene que probar un espacio astronómico de combinaciones; le basta reconstruir un conjunto mucho más pequeño de semillas predecibles y comprobar cuáles tienen fondos. Eso es, según el equipo, lo que ocurrió entre las 23:42 UTC del 17 de octubre y la 01:26 UTC del 18 de octubre.
Qubic precisó qué semillas consideraba vulnerables: las creadas en cualquier navegador de un iPhone o un iPad antes del 18 de octubre de 2026, las creadas en Safari de Mac antes de esa misma fecha y las creadas en la aplicación de Qubic para iOS antes de julio de 2025. El patrón apunta a la plataforma de Apple, y no es casualidad: en iOS todos los navegadores usan el motor de Safari, así que un defecto en ese motor golpea a todos por igual. La corrección llegó con la versión 4.26.4 del cliente, que impide crear nuevas semillas débiles.
El freno a mitad de la fuga
La respuesta fue drástica. Los Computors, los validadores de Qubic, coordinaron una detención de la red en el tick 85.371.949 —la unidad de avance de Qubic, comparable a un bloque en otras cadenas— y con la red parada las transferencias dejaron de procesarse. El resultado es un robo que quedó atrapado a mitad de camino: el 87,1% de los fondos drenados nunca salió de la red y permanece congelado, mientras que el 12,9% restante llegó a MEXC, cuyo equipo congeló la cuenta receptora en aproximadamente una hora.
La velocidad del ataque explica por qué la intervención tuvo que ser tan abrupta: 1.404 carteras en 104 minutos equivalen a más de trece carteras vaciadas por minuto. Bitget, por su parte, suspendió los depósitos y retiros de QUBIC por precaución, y el equipo aseguró que los exchanges fueron notificados para mantener los fondos bloqueados.
Qué deben hacer los afectados
Qubic pidió a las víctimas presentar una denuncia ante la policía o las autoridades de ciberdelincuencia de su país, incluyendo el identificador de la cartera, la cantidad perdida y el enlace de la transacción tomado de explorer.qubic.org. Esas denuncias formales, explicó el equipo, ayudan a que los exchanges mantengan los fondos congelados mientras se resuelve el caso. El mismo aviso incluyó una advertencia contra el fraude: nadie de Qubic escribirá primero a un usuario, pedirá su semilla ni ofrecerá servicios de recuperación a cambio de un pago.
Una distinción con precedentes
El incidente plantea una tensión que se repite en el sector: si la blockchain no fue vulnerada, ¿de quién es la responsabilidad? Qubic tiene razón en lo técnico —el protocolo no se tocó—, pero las herramientas de cartera que un usuario elige para entrar a una red son parte del ecosistema en el que depositó su confianza. El patrón tampoco es nuevo. La cartera de hardware Coldcard vivió algo parecido meses atrás: una falla en la generación de semillas abrió la puerta a robos por más de cien millones de dólares y, según un análisis posterior, encontrar el defecto costó apenas dos dólares con ayuda de IA. Más recientemente, Ledger investigó drenajes de carteras por unos 86 millones de dólares ligados a un revendedor del sudeste asiático, un caso en el que el fallo estaba en el hardware manipulado, no en el código de la empresa.
Hay, además, un segundo ángulo que la propia comunidad señaló en las respuestas al anuncio: una red que puede detenerse por decisión de sus validadores protege a las víctimas, pero también revela un grado de centralización que choca con el ideal de una cadena sin intermediarios. Qubic no escondió ese hecho; dejó claro que cualquier decisión sobre los fondos corresponde a su quorum de Computors, no al equipo central.
Lo que aún no está resuelto
La pregunta que sigue abierta es la restitución. El equipo está identificando a cada identidad afectada y preparando opciones para el quorum de Computors, con una encuesta abierta en Discord para orientar la decisión. Tampoco hay fecha para reactivar la red ni para el informe técnico completo, que se publicará cuando la recuperación esté resuelta. Mientras tanto, el token de Qubic, que cotiza como QUBIC, caía cerca de un 8% en 24 horas y un 17,4% en siete días, según datos de CoinGecko al 19 de octubre. Para los titulares afectados, lo único seguro por ahora es que sus fondos siguen congelados y que la palabra final no la tendrá el atacante, sino los validadores que decidieron detener la red para atraparlo.
More on this topic: Noticias de altcoins and 21Shares lanza en Europa los ETP de Lighter (LIT) y Venice (VVV): un DEX de futuros y la IA privada llegan a la bolsa.
See also: Grayscale solicita convertir el Bitcoin Cash Trust (BCHG) en un ETF al contado de Bitcoin Cash.
See also: Tether lanza un entorno de pruebas de monedero basado en navegador para desarrolladores.
See also: El nuevo nodo Zakura de Zcash apunta a privacidad a escala Visa con 50.000 TPS.
See also: El presidente de Circle defiende el foso de USDC mientras la acción se desploma de 260 a 62 dólares.
See also: La actividad de ballenas de EigenLayer se dispara a pesar del precio plano de EIGEN.
