La blockchain Qubic quedó paralizada el domingo (18) después de que un atacante explotara una falla en la generación de credenciales de billeteras y desviara aproximadamente US$ 1,4 millones en criptomonedas. Según el equipo del proyecto, más de 1.400 cuentas se vieron comprometidas, lo que llevó a la suspensión de las operaciones de toda la red.
El ataque resultó en el desvío de cerca de 2,94 billones de tokens QU. Para impedir nuevos movimientos, los participantes responsables de la validación de la red interrumpieron su funcionamiento en el tick 85.371.949, unidad utilizada por Qubic para organizar el procesamiento de las transacciones.
El equipo informó que el 87,1% de los activos desviados permanece congelado en la blockchain. El otro 12,9% se transfirió al exchange MEXC, que, según el proyecto, bloqueó la cuenta receptora aproximadamente una hora después.
Aunque los fondos estén bloqueados, eso no significa que hayan sido recuperados o devueltos a sus propietarios.
La falla estaba en la generación de las claves de las billeteras
La vulnerabilidad estaba en el mecanismo utilizado para crear las semillas de recuperación, secuencias secretas que permiten generar las claves de acceso a las billeteras. Cuando esas semillas se producen con aleatoriedad insuficiente, un atacante puede lograr reproducirlas y obtener el control de los fondos.
Según Qubic, el problema afectaba a semillas generadas en navegadores de iPhones e iPads, en el Safari de computadoras Mac y en versiones antiguas de la aplicación para iOS. La falla estaba en el software de las billeteras, no en el mecanismo de consenso de la blockchain.
El historial del repositorio oficial en GitHub confirma que la versión 4.26.4 de la billetera web, lanzada el 18 de octubre, sustituyó la función Math.random() por crypto.getRandomValues() en la generación de las semillas. A diferencia de la primera, la nueva función utiliza un generador de números aleatorios adecuado para operaciones criptográficas.
La actualización corrige la generación de nuevas credenciales, pero no hace que las semillas vulnerables creadas anteriormente sean automáticamente seguras.
El equipo de Qubic trabaja en la identificación de las billeteras afectadas y en la elaboración de alternativas para la recuperación de los activos. Las propuestas se someterán a la votación de los Computors, participantes responsables de las decisiones operativas de la red.
Al momento de la divulgación de la información, el 19 de octubre, no había una fecha anunciada para la reanudación de las operaciones. El proyecto también prometió publicar un informe técnico completo después de la definición del plan de recuperación.
