Qubic detiene su mainnet tras vaciarse 1.404 carteras: el fallo estaba en la semilla

En la noche del 18 de octubre de 2026, la red Qubic detuvo su propio funcionamiento. Antes, un atacante había vaciado 1.404 carteras, unos 2,94 billones de QU por un contravalor de alrededor de 1,3 millones de dólares. Según el proyecto, la causa está fuera del protocolo Qubic: algunas carteras generaron su frase de recuperación de una forma que la hacía previsible. Si tienes QU y alguna vez creaste tu cartera en el navegador de un iPhone, de un iPad o en Safari en un Mac, debes dar por hecho que tu semilla figura en la lista publicada.

El caso no termina en Qubic. Una semilla que genera un generador aleatorio dentro de un navegador depende de la calidad de ese generador. Eso vale para cualquier cartera creada en un navegador, sea cual sea la criptomoneda.

Qué ocurrió en la red Qubic en la noche del 18 de octubre

La ventana es estrecha y está bien documentada. Tras la comunicación del proyecto, que Crypto Briefing y Bitcoin.com News recogen de forma coincidente, las salidas de fondos empezaron el 17 de octubre a las 23:42 UTC y terminaron el 18 de octubre a la 1:26 UTC. Son una hora y 44 minutos en los que se vaciaron 1.404 cuentas.

Ambos informes cifran la suma en unos 2,94 billones de QU. El QU es un token con un número de unidades muy alto y un precio unitario igualmente bajo, de ahí que el recuento suene mayor que el valor que representa: unos 1,3 millones de dólares en el momento del robo.

Después intervinieron los validadores. Detuvieron la blockchain en el tick 85.371.949. En Qubic, el tick es la unidad de recuento de un paso de procesamiento de la red, comparable a un bloque en Bitcoin. Una red detenida ya no procesa nada, tampoco más salidas de fondos.

El fallo estaba en la generación de la semilla, no en el protocolo de Qubic

Una semilla es la cadena de caracteres de la que una cartera deriva todas sus claves privadas. En Qubic se trata de una secuencia de 55 letras minúsculas. Quien la conoce tiene acceso completo al saldo, sin contraseña y sin dispositivo.

Los desarrolladores sostienen que el código de la propia blockchain no fue atacado. El punto vulnerable estaba antes: la generación de esos 55 caracteres. Si un programa no extrae los caracteres de forma realmente aleatoria, sino siguiendo un patrón reproducible, un atacante puede recorrer la secuencia. Eso es exactamente lo que ocurrió, según el aviso de Qubic que el servicio on-chain Lookonchain difundió esa noche.

Qué significa en la práctica una «aleatoriedad insuficiente»

Una semilla de 55 caracteres ofrece, sobre el papel, tantas combinaciones posibles que ningún ordenador del mundo podría recorrerlas. Esa protección depende por completo de que cada una de las 55 posiciones sea realmente imprevisible. Si el número de valores iniciales realmente posibles baja a unos pocos millones, de los 55 caracteres solo queda una fachada. El atacante no calcula una semilla: calcula todas las que ese programa pudo generar y luego mira cuáles tienen saldo.

Afectadas están las semillas de navegadores de iPhone, de Safari en Mac y de la primera app de iOS

Qubic ha nombrado las vías afectadas. Según ese listado, se consideran vulnerables:

• las semillas creadas antes del 18 de octubre de 2026 en cualquier navegador de un iPhone o un iPad,
• las semillas creadas antes de esa misma fecha en Safari en un Mac,
• las semillas creadas antes de julio de 2025 mediante la app de Qubic para iOS.

El límite sigue, por tanto, la plataforma de Apple. No es casualidad: en el iPhone y el iPad, cualquier navegador debe usar el motor de representación de Safari, aunque por fuera diga Chrome o Firefox. Un error en ese único motor alcanza así a todos los navegadores del dispositivo a la vez.

Si en cambio creaste tu cartera de Qubic en Windows, Android o Linux, o usaste la aplicación de escritorio, esta lista no te coloca en el lado del riesgo. Eso no da seguridad: la lista viene del propio proyecto y puede ampliarse a medida que avance el análisis.

Entropía: por qué un generador aleatorio puede ser más débil en el navegador

La entropía mide cuánta imprevisibilidad real hay en un número. Un sistema operativo recoge esa imprevisibilidad de muchas fuentes, por ejemplo de los intervalos entre pulsaciones de teclas, del ruido de los sensores o de un componente propio del procesador.

Una página web en el navegador solo accede a esas fuentes de forma indirecta. Pide números aleatorios a través de una interfaz y recibe lo que el navegador le da. Si esa interfaz está mal alimentada de entropía, por ejemplo justo después de arrancar el dispositivo, el resultado sale más débil de lo que sugiere la longitud de la cadena. El usuario no ve nada de eso. Su semilla parece igual de desordenada que cualquier otra.

De ahí sale una regla práctica que vale más allá de este caso: cuantas menos capas haya entre la fuente de azar y tu semilla, mejor. Un dispositivo que no hace otra cosa que guardar claves ofrece aquí el camino más corto. Qué dispositivos hay en Alemania y cuánto cuestan está en la comparativa de carteras hardware.

El 87,1 % del botín está atrapado en la red y el 12,9 % acabó en MEXC

Aquí está la parte insólita de este caso. De la suma robada, el atacante no llegó a sacar de la red Qubic la mayor parte. Según los datos coincidentes de ambos informes, el 87,1 % de los QU sigue en la blockchain, donde no se puede mover ni vender mientras la red esté detenida.

El 12,9 % restante llegó al exchange MEXC. Allí la entrada llamó la atención: la casa afirma haber bloqueado la cuenta receptora en menos de una hora porque sospechó una relación con el ataque. A esa velocidad no era algo evidente, y evitó que esa parte también se vendiera en el mercado.

La parada de la red en el tick 85.371.949 y sus consecuencias para los titulares

Una red detenida protege el botín de una reventa, pero también inmoviliza a todos los demás. Si tienes QU y no estás afectado en absoluto, tampoco llegas a tu saldo hasta el reinicio. Es el precio de esta medida, y el proyecto lo ha pagado a conciencia.

QEARN, la función de staking de la red, no está afectada según los desarrolladores. Sobre una indemnización a los perjudicados aún no hay nada decidido. La competencia está en el clúster Computor, es decir, en los operadores que sostienen la red y votan sobre su rumbo. Por ahora no hay compromiso alguno, solo la indicación de que allí se decidirá.

Bitget pausa los depósitos y retiradas de QUBIC y el cliente 4.26.4 cierra el fallo

Mientras la red está parada, dos plataformas han reaccionado. MEXC bloqueó la cuenta en la que acabó el botín. El exchange Bitget suspendió depósitos y retiradas de QUBIC mientras la situación siga sin aclararse. Ambos pasos evitan que los tokens robados circulen por el canal regulado.

En el lado del software, el informe de Crypto Briefing señala la versión 4.26.4 del cliente como la que corrige la debilidad en la generación de la semilla. Los desarrolladores indican además haber puesto a salvo otros saldos en peligro antes que el atacante. Una versión nueva del programa, sin embargo, solo repara la generación de semillas futuras. Una semilla que ya nació débil sigue siendo débil, sea cual sea la versión que corra por encima.

El QU cotiza a 0,0000004268 dólares y su valor de mercado ronda los 61 millones

Para situar las magnitudes: el QU cotizaba el domingo por la noche a 0,0000004268 dólares, con un valor de mercado de unos 61,4 millones de dólares y el puesto 385 del mercado global. Frente al día anterior registra un retroceso del 13,6 %. Estos valores los tomó cryptoticker.io el 18 de octubre de 2026.

El importe robado equivale así a cerca del dos por ciento de todo el valor de mercado. Para un proyecto de este tamaño es perceptible; para el mercado cripto en su conjunto es una cifra pequeña. Si quieres seguir la evolución del precio, la encontrarás en la predicción del precio de Qubic.

El caso no afecta solo a quienes tienen Qubic

Tres cosas hacen que este incidente interese más allá del proyecto. Primero, golpeó al software situado delante de la blockchain, mientras la propia blockchain quedó intacta. Segundo, la debilidad existió durante años sin que nadie la notara y sin que ningún usuario pudiera detectarla. Tercero, dio precisamente en la vía que resulta más cómoda: la cartera en el navegador, creada en segundos y sin instalar nada.

Una lección parecida había detrás del caso en el que un agente de OpenAI accedió a 362 carteras con frases semilla conocidas. Allí tampoco se rompió ninguna blockchain, sino una suposición sobre el origen de las claves. Y el debate sobre el riesgo cuántico en las direcciones de Bitcoin gira en el fondo sobre la misma pregunta: ¿qué calidad tiene el procedimiento que generó tu clave?

Cartera hardware, cartera software, exchange: dónde nace la semilla en Alemania

En la práctica cuenta quién genera la clave en tu caso. Hay tres vías, y se diferencian justo en ese punto.

La cartera hardware genera la semilla dentro del dispositivo

Un aparato así extrae su azar de un componente propio y nunca entrega la semilla a un ordenador. El navegador no aparece en ningún momento del proceso. A cambio pagas una cifra de tres dígitos y asumes tú la responsabilidad de la copia de seguridad.

La cartera software depende de la fuente de azar del dispositivo

Aquí se sitúa el caso de Qubic. Una aplicación en el teléfono o en el ordenador puede usar un generador bueno o uno débil, y desde fuera no se aprecia. Lo decisivo es si el programa toma el generador del sistema operativo y si su código está abierto. Ambas cosas se pueden consultar antes de la instalación, después ya no se cambian.

En un exchange no existe ninguna semilla para ti

Si compras a través de un exchange y dejas ahí las monedas, el proveedor custodia las claves. Una semilla débil por tu parte ni siquiera puede surgir. A cambio, todo depende del proveedor, y con un proveedor sin licencia no depende de nada. Que existen proveedores así lo demostró la BaFin este octubre con varios avisos.

Mover monedas entre tus propias carteras no es una venta

Si trasladas tus monedas a una cartera nueva por una semilla dudosa, no las estás vendiendo. Una transferencia entre dos direcciones que te pertenecen a ti no es una enajenación y no reinicia el plazo de tenencia de un año del derecho fiscal alemán.

Lo único importante es que te lleves los datos de adquisición. Tu programa fiscal o tu gestor de cartera tiene que reconocer ambas direcciones como tuyas; si no, la entrada en la nueva dirección aparece como un ingreso sin adquisición y la ganancia se calculará mal más adelante. Anota el traslado en tu documentación con la fecha, las dos direcciones y el identificador de la transacción antes de borrar la cartera antigua.

Denuncia ante la policía: qué pide Qubic a los afectados

El proyecto pide a los perjudicados que presenten denuncia. Suena a trámite y es, sin embargo, el punto por el que los fondos congelados podrán volver a moverse más adelante: un exchange que bloquea una cuenta por sospecha necesita en algún momento una base oficial para entregar el saldo o devolverlo.

En Alemania la denuncia se presenta en cualquier comisaría y, en la mayoría de los estados federados, también en línea a través de la Internetwache. Lleva lo que tengas: tu dirección de Qubic, la dirección del atacante, el momento y el importe de la salida de fondos y un justificante de que la cartera es tuya. De ahí no se deriva ninguna indemnización. Qubic no ha prometido ninguna y el clúster Computor aún tiene que decidir.

Robo en Qubic: una semilla creada en el navegador hay que sustituirla

Las cifras son pequeñas, la lección no. Si tu frase de recuperación nació en una ventana del navegador, no sabes cuánto azar hay realmente en ella. Tres pasos te sacan de esa incertidumbre:

1. Aclara el origen. Repasa cada cartera con importes relevantes y apunta con qué la creaste: navegador, app, dispositivo hardware, sistema operativo. Todo lo que haya nacido en un navegador de un dispositivo de Apple entra en la lista de riesgo en Qubic y, con cualquier otra moneda, al menos en la lista a revisar. Qué aplicación te encaja lo muestra la comparativa de carteras de software.
2. Genera una semilla nueva por el camino más corto. Crea una cartera nueva allí donde está el azar: en un dispositivo que solo sirva para eso. Después trasladas el saldo completo y dejas vacía la dirección antigua. Los dispositivos y sus precios están en la comparativa de carteras hardware.
3. Mantén el resto en una plataforma supervisada. Para los importes en los que la custodia propia te supone demasiado trabajo, queda la custodia en el proveedor. Entonces es su licencia la que decide tu riesgo. Qué casas tienen licencia MiCA en la UE está en el repaso de los exchanges cripto regulados.

La red Qubic no está funcionando ahora mismo. Cuándo volverá a arrancar y qué pasará entonces con los QU congelados está abierto. Hasta entonces, la parte más útil de esta noche sigue siendo la pregunta que cada uno puede responder para sus propias carteras: ¿de dónde venía el azar?

(18 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)