El peligro de Math.random(): drenan 2,94 trillones de tokens en la red Qubic

Imagina dejar la llave de casa debajo del felpudo convencido de que nadie la va a buscar. Algo muy similar le ha sucedido a la red de Layer-1 Qubic la semana pasada, cuando protagonizó uno de los incidentes de seguridad más reveladores y didácticos del panorama criptográfico reciente.

El susto fue monumental: en menos de dos horas, un atacante logró vaciar 1.404 billeteras de usuarios. En total, se drenaron aproximadamente 2,94 trillones de tokens QU, una cantidad valorada en más de 1,3 millones.

La raíz de este tropiezo no es ninguna magia negra hacker, sino un pecado clásico en desarrollo: usar la función "Math.random()". Para entenderlo con una analogía sencilla, utilizar esta herramienta para generar claves es como pretender crear una contraseña ultra secreta tirando un dado de parchís normal y corriente, en lugar de sacar números de un bombo de lotería gigante e impredecible.

Esa falta de aleatoriedad pura es lo que en el ámbito técnico se conoce como falta de entropía. Sin ese "caos" necesario, las combinaciones dejan de ser secretas y averiguar el acceso a las carteras de los usuarios se convierte en un cálculo tristemente alcanzable para un atacante.

Este incidente nos recuerda que en el software de infraestructura no se pueden coger atajos con las bases del código. ¿Qué opináis en la comunidad de BeersStorming sobre tropezar con fallos tan básicos en proyectos de este calibre?