Qubic Robo 1404 Billeteras: Falla de Aleatoriedad en Infraestructura Web3

Robo de 1.404 billeteras de Qubic por 1,3 millones de dólares: lo expuesto no es un bug, sino la pérdida de 'aleatoriedad' en la capa de infraestructura Web3

Lo más relevante de hoy no es que Bitcoin haya superado los 82.000 dólares ni que la probabilidad de un nuevo aumento de tasas por parte de la Reserva Federal haya caído al 15,5 %, sino que Qubic sufrió, entre las 23:42 y las 01:26 UTC del 18 al 19 de octubre, un ataque que explotó una entropía insuficiente en la generación de semillas (Seed). En tan solo 94 minutos, 1.404 billeteras fueron accedidas de forma masiva y se transfirieron 2,94 billones de tokens QU —valorados en unos 1,3 millones de dólares al precio de mercado en ese momento—. Este no es un fallo a nivel de protocolo, pero sí más peligroso que muchos bugs de contratos inteligentes: no depende de errores de código, sino que ataca directamente el fundamento mismo de la confianza criptográfica.

El evento en sí: una cirugía precisa sobre la 'aleatoriedad'

El comunicado oficial de Qubic aclara dos puntos clave: primero, el ataque ocurrió entre las 23:42 UTC del 18 de octubre y las 01:26 UTC del 19 de octubre; segundo, el problema radicó en el mecanismo de generación de Seed de ciertas billeteras, y no en el protocolo Qubic en sí. El anuncio señala textualmente: «Las semillas afectadas pertenecen a tres categorías: 202…» (los detalles completos de las categorías no se divulgaron en los materiales disponibles, por lo que no se amplían aquí). El mismo suceso fue confirmado de forma cruzada en dos alertas rápidas: [23:33] y [23:06], ambas reportan el robo de 2,94 billones de tokens QU, involucrando 1.404 billeteras y una pérdida estimada de aproximadamente 1,3 millones de dólares, además de anunciar la suspensión inmediata de la red. Esto no es un falso positivo, sino una respuesta en tiempo real verificable en cadena: todos los tokens robados fueron enviados a un conjunto de direcciones idénticas, y los hashes de transacción ya están públicos en exploradores de bloques.

Fondo: La Seed no es una 'contraseña', es un 'certificado de nacimiento'

En Web3, las claves privadas de las billeteras se derivan de frases semilla (Seed), cuya seguridad depende enteramente de su entropía (grado de aleatoriedad). Un hecho ampliamente aceptado en la industria es que una frase semilla válida debe generarse mediante un CSPRNG (generador criptográficamente seguro de números pseudoaleatorios) y poseer una entropía mínima de 128 bits. Qubic, como cadena pública innovadora centrada en «cómputo de conocimiento cero + consenso distribuido», debería haber implementado su herramienta de billetera conforme al estándar BIP-39. Sin embargo, este incidente revela que algunos clientes utilizaron fuentes de aleatoriedad no criptográficas (como marcas de tiempo del sistema o variables de entorno con baja entropía) al generar las Seeds, haciendo posible su descifrado mediante fuerza bruta o inferencia por patrones. No es un caso aislado: en 2023, la billetera Phantom sufrió un fallo similar debido a una debilidad en el pool de entropía del sistema iOS; en 2024, MetaMask para móviles también reportó entropía insuficiente en ciertos modelos Android. Lo particular de Qubic es que delegó la generación de Seed íntegramente al SDK frontal, sin imponer una verificación obligatoria de la calidad de la fuente de entropía.

¿Por qué ocurrió? Tres eslabones causales

Primer eslabón: deuda técnica — la prioridad del SDK eclipsó la auditoría de seguridad. En sus primeras etapas, el ecosistema Qubic se centró en la optimización de circuitos ZK y el desarrollo de puentes entre cadenas. El SDK de billeteras fue clasificado como «infraestructura complementaria», y sus pruebas de seguridad no formaron parte del alcance de las auditorías centrales. Aunque los materiales no mencionan a su auditor externo, la comparación con el ataque al puente transversal Cysic ([18:57]) —donde se informó inmediatamente sobre un «acceso no autorizado a la base de datos»— evidencia que la lógica de respuesta de Qubic privilegia parches a nivel de aplicación, no una reescritura profunda de capas fundamentales.

Segundo eslabón: desajuste lógico del producto — experiencia ligera a costa de la garantía de entropía. Qubic promueve la creación de billeteras «con un solo clic». Su documentación para desarrolladores incentiva activamente el uso de generateMnemonic(), sin exigir vinculación obligatoria con fuentes de entropía hardware. Cuando un usuario inicializa una billetera en un dispositivo con baja entropía (por ejemplo, una tablet Android antigua o un terminal embebido sin cámara ni micrófono), la fuente aleatoria predeterminada del sistema puede ofrecer apenas 40–60 bits de entropía: 2,94 billones de combinaciones pueden agotarse en menos de una hora con una granja moderna de GPUs.

Tercer eslabón: inercia del ecosistema — la educación al usuario ausente amplifica el riesgo. Kash Razzaghi, director comercial de Circle, reconoció en [23:39] que el modelo de ganancias de la «primera acción de stablecoin» es muy ajustado (solo retiene 7 centavos por cada dólar ganado), reflejando un desequilibrio generalizado en Web3 respecto al costo de la seguridad. Cuando los usuarios asumen que las billeteras deben ser gratuitas y los desarrolladores buscan integraciones rápidas, la generación de Seeds —un «costo invisible»— suele ser la primera función sacrificada.

Reacción del mercado e impacto: grietas estructurales en medio de una ola de liquidaciones

El evento no provocó fluctuaciones significativas en Bitcoin ni Ethereum (BTC -0,53 % en 24 h, ETH -2,22 % en 24 h), pero sí amplificó el descuento de confianza hacia proyectos de infraestructura de mediana capitalización. Según CoinGlass, en las últimas 24 horas se liquidaron 359 millones de dólares en todo el mercado, con posiciones largas representando el 78,3 % ([23:31]), lo que indica que el capital apalancado está retirándose de forma concentrada de activos de alta beta. Aunque el sector «infraestructura ZK», al que pertenece Qubic, no aparece listado por separado en los rankings de caídas, ZEC cayó un 7,09 % (el peor desempeño del día) y NEAR bajó un 5,00 %, confirmando que los fondos están saliendo de proyectos que requieren narrativas técnicas continuas para sostener su valor.

Desde ambos lados del mercado: la postura bajista es clara —el incidente de Qubic confirma el temor de que el «nivel de seguridad de la infraestructura sea inferior al de las aplicaciones», lo que podría presionar a la baja la prima de valoración de SDK similares en ecosistemas como Solana o zkSync; por otro lado, los alcistas destacan que la capa de protocolo de Qubic permanece intacta y que la red ya fue suspendida ([23:06]), lo que abre espacio para una aceleración en la estandarización de fuentes de entropía en sus SDK de billeteras. Vale la pena notar que la tasa de financiación ponderada por tenencia de BTC se mantiene en solo 0,0055 % ([14:41]), dentro de un rango neutral, lo que sugiere que los activos principales aún no han adoptado una postura bajista sistémica por un solo fallo en infraestructura.

Otros hechos relevantes del día

• Cysic: puente transversal víctima de acuñación no autorizada de 10 millones de CYS ([18:57]): el atacante accedió ilegalmente a su base de datos e incrementó la oferta de tokens en BNB Smart Chain; el puente ya fue suspendido —un fallo típico de gestión de permisos, que contrasta técnicamente con la falla de entropía de Qubic;
• Papertrade lanza contratos perpétuos en Hyperliquid ([19:27]): el contrato PAPER ofrece apalancamiento hasta 3× y cotiza a 0,012 dólares, pero los ingresos diarios de la plataforma cayeron un 83 % interdiario ([11:56]) —refleja una migración de la liquidez en derivados desde nuevas narrativas hacia competencias consolidadas;
• Chainalysis: solo el 10,5 % de los bonos estadounidenses tokenizados están en manos de inversores estadounidenses ([12:13]): Italia, Portugal y Singapur suman el 66,9 %, lo que evidencia que el capital extraterritorial lidera el flujo de bonos soberanos en cadena, tendencia que, junto al caso Qubic, apunta a una dispersión geográfica creciente en la custodia de activos Web3.

Los 3 próximos puntos clave para observar

1. Fecha de publicación del plan de actualización de fuentes de entropía en el SDK de billeteras de Qubic: si antes del jueves 22 de octubre no se anuncian medidas concretas de mejora (por ejemplo, la imposición obligatoria del uso de getRandomValues() de la API Web Crypto), el mercado interpretará dicha demora como una respuesta técnica lenta;
2. ¿Se rompe la línea de costo promedio de los nuevos compradores de BTC en Bitfinex?: este grupo tiene un costo promedio de 75.000 dólares ([22:08]); si BTC cae por debajo de los 79.000 dólares y se mantiene allí durante 48 horas, podría desencadenar una nueva oleada de liberación de posiciones a largo plazo;
3. Avances en el proceso de reclutamiento del departamento de activos digitales de Franklin Templeton: si las vacantes abiertas —como «Responsable de Crédito Privado Cripto de Franklin»— inician sus primeras entrevistas antes del 25 de octubre, esto marcará un hito clave: la atención de los gestores de activos tradicionales hacia los estándares de seguridad en infraestructura blockchain habrá descendido desde la capa regulatoria hasta la ejecución técnica.

Aviso de riesgo — Los activos criptográficos son altamente volátiles. Este artículo constituye una recopilación informativa y una expresión de opiniones, y no representa una recomendación de inversión.