Exploit peněženky SecondFi na Cardanu: co se stalo, kdo byl zasažen a jak bylo zachráněno 129M ADA

Co se stalo: Tři útoky, 374 adres

Mezi 21. a 23. červnem 2026 umožnila kritická zranitelnost v peněžence SecondFi – dříve známé jako Yoroi, kterou vyvíjí EMURGO – třem vnějším útočníkům odčerpat přibližně 16 milionů ADA (v té době v hodnotě asi 2,4 milionu dolarů) ze 374 uživatelských adres ve třech po sobě jdoucích vlnách útoků . Z postižených peněženek byly odcizeny i tokeny a NFT .

Exploit byl odhalen poté, co uživatelé nahlásili neoprávněné převody z peněženek vytvořených prostřednictvím webového rozhraní SecondFi. Platforma byla 23. června přepnuta do bezpečnostního režimu údržby, zatímco vyšetřovatelé začali analyzovat incident .

Hlavní příčina: Chyba v softwaru pro generování peněženek SecondFi

Zranitelnost byla vystopována k proprietárnímu softwaru pro generování peněženek/klíčů SecondFi – konkrétně k logice generování adres Cardana na úrovni soukromých klíčů . SecondFi popsal problém jako chybu na „úrovni adresy“ ve svém kódu pro vytváření peněženek, která vystavila soukromé klíče uživatelů .

Podle vyšetřování SecondFi útok pramenil z deterministické chyby v odvozování nonce v softwarovém podepisovači. To umožnilo útočníkům matematicky rekonstruovat soukromé klíče z veřejně dostupných blockchainových dat poté, co postižené adresy podepsaly transakce .

Je důležité zdůraznit, že ke kompromitaci došlo v aplikační vrstvě SecondFi, nikoli v protokolu Cardano, otevřené infrastruktuře peněženek nebo základní kryptografii . SecondFi potvrdil, že zranitelnost byla omezena na jeho vlastní software a žádná základní součást Cardana nebyla ovlivněna .

Byly ztráty vyšší, než se uvádí? Záchrana 129M ADA

Na začátku incidentu odhadovala bezpečnostní firma SlowMist celkové ztráty na více než 20 milionů dolarů a zprávy varovaly, že až 129 milionů ADA v ohrožených peněženkách je v ohrožení .

Reakce SecondFi byla agresivní: Tým identifikoval hlavní příčinu, nasadil opravy pro nepostižené peněženky a – co je nejdůležitější – v „čtvrté vlně“ transakcí předběhl útočníky a přesunul 129 milionů ADA z dosud zranitelných peněženek k nezávislému třetímu správci, čímž tyto prostředky zachránil dříve, než mohly být odcizeny . Tato částka nebyla „odčerpána“ – byla zachráněna .

Reakce EMURGO: EMURGO, jeden ze tří zakládajících subjektů Cardana a vývojář SecondFi, financoval úložiště pro navrácení aktiv (Asset Recovery Wallet) speciálně pro vrácení aktiv uživatelům, jejichž peněženky byly kompromitovány . Zprávy však naznačují, že EMURGO se nezavázalo plně odškodnit všechny postižené uživatele nad rámec vrácení zachráněných/získatelných prostředků . Oficiální FAQ uvádí, že aktiva odčerpaná útočníky jsou „chráněna a přístupná“ a že EMURGO jedná s IntersectMBO o mechanismu úschovy .

Proč Charles Hoskinson řekl, že protokol Cardana nebyl ovlivněn

Ve svých prohlášeních z 23.–25. června 2026 Charles Hoskinson opakovaně zdůraznil, že samotný blockchain Cardana nebyl napaden . Jeho argumentace se opírala o tři body:

• Narušení se týkalo proprietárního kódu pro generování peněženek SecondFi na aplikační úrovni – aplikace, nikoli protokolu Cardano .
• Nebyl žádný důkaz, že by byla kompromitována jakákoli součást základního technologického stacku Cardana, konsensuální vrstvy nebo základní kryptografie .
• Hoskinson označil incident za „nešťastnou realitu krypta“ a zdůraznil, že protokol Cardana, otevřená infrastruktura peněženek a základní bezpečnost zůstaly nedotčeny .

Bezpečnostní experti na blockchain a řada zpráv toto rozlišení nezávisle potvrdili: síť Cardano fungovala po celou dobu normálně .

Kritická varování pro uživatele: Neobnovujte svou seed frázi

SecondFi vydal naléhavé varování, že postižení uživatelé by NEMĚLI obnovovat své seed fráze do jiné peněženky Cardano . Kompromitace je na úrovni soukromého klíče – obnovení stejné fráze do jiné peněženky problém neřeší; útočníci stále mohou k těmto adresám přistupovat .

Místo toho byli všichni uživatelé vyzváni, aby vytvořili zcela nové peněženky s novými seed frázemi a okamžitě přesunuli prostředky .

Kontrola peněženek, snímky zůstatků a plán kompenzací

SecondFi vytvořil kompletní snímek zůstatků postižených uživatelských prostředků a během reakce na incident průběžně pořizoval několik kol snímků . 26. června tým dokončil konečný snímek zůstatků, který poslouží jako základ pro zpracování refundací .

Podrobnosti o kompenzacích:

• EMURGO financoval úložiště pro navrácení aktiv (Asset Recovery Wallet) speciálně pro vrácení aktiv kompromitovaným uživatelům .
• 129 milionů ADA zajištěných u třetího správce je určeno k vrácení oprávněným vlastníkům .
• Pro postižené uživatele byl otevřen proces podávání kompenzačních nároků .
• Očekávalo se, že vrácení aktiv začne přibližně do dvou týdnů od snímku z 26. června po dokončení bezpečnostního testování a interních kontrol .

Varování před podvody: Podvodníci se vydávají za SecondFi

SecondFi varoval, že podvodníci se vydávají za SecondFi a šíří falešné nástroje pro obnovu . Uživatelé byli instruováni, aby používali pouze oficiální kanály a pamatovali si, že žádný legitimní nástroj pro obnovu nevyžaduje sdílení seed frází .