SecondFi-Cardano-Wallet-Exploit: 16 Mio. ADA gestohlen – 129 Mio. ADA gerettet – Das ist passiert

Was geschah: Drei Angriffswellen, 374 Adressen geleert

Zwischen dem 21. und 23. Juni 2026 nutzten drei externe Angreifer eine kritische Sicherheitslücke in SecondFi – dem Cardano-Wallet, das früher als Yoroi bekannt war und von EMURGO entwickelt wurde –, um in drei aufeinanderfolgenden Angriffswellen etwa 16 Millionen ADA (damals rund 2,4 Millionen US-Dollar) von 374 Nutzeradressen zu erbeuten . Auch Token und NFTs aus betroffenen Wallets wurden gestohlen .

Der Exploit wurde entdeckt, nachdem Nutzer nicht autorisierte Transfers von Wallets gemeldet hatten, die über die SecondFi-Weboberfläche erstellt worden waren. Am 23. Juni wurde die Plattform in den sicheren Wartungsmodus versetzt, während Ermittler mit der Analyse des Vorfalls begannen .

Ursache: Ein Fehler in der Wallet-Generierungssoftware von SecondFi

Die Schwachstelle wurde auf SecondFis proprietäre Software zur Wallet-Generierung bzw. Schlüsselerzeugung zurückgeführt – genauer gesagt auf die Logik zur Erzeugung von Cardano-Adressen auf der Ebene der privaten Schlüssel . SecondFi beschrieb das Problem als einen Fehler auf „Adressebene“ im Wallet-Erstellungscode, der die privaten Schlüssel der Nutzer offenlegte .

Laut der Untersuchung von SecondFi beruhte der Angriff auf einem deterministischen Nonce-Ableitungsfehler im Software-Signer. Dies ermöglichte es den Angreifern, private Schlüssel aus öffentlich zugänglichen Blockchain-Daten mathematisch zu rekonstruieren, nachdem die betroffenen Adressen Transaktionen signiert hatten .

Wichtig: Der Vorfall ereignete sich innerhalb der Anwendungsschicht von SecondFi, nicht im Cardano-Protokoll, der Open-Source-Wallet-Infrastruktur oder der zugrunde liegenden Kryptografie . SecondFi bestätigte, dass die Schwachstelle auf die eigene Software beschränkt war und keine Cardano-Komponente betroffen war .

Waren die Verluste höher als gemeldet? Die Rettung von 129 Millionen ADA

Zu Beginn des Vorfalls schätzte die Blockchain-Sicherheitsfirma SlowMist die Gesamtverluste auf über 20 Millionen US-Dollar, und es gab Berichte, dass bis zu 129 Millionen ADA in gefährdeten Wallets riskiert wurden .

Die Notfallmaßnahmen von SecondFi waren entschlossen: Das Team identifizierte die Ursache, stellte Patches für nicht betroffene Wallets bereit und – am kritischsten – in einer „vierten Welle“ von Transaktionen überholte das Team die Angreifer und transferierte 129 Millionen ADA von noch gefährdeten Wallets zu einem unabhängigen Drittverwahrer, bevor diese gestohlen werden konnten . Diese Menge wurde nicht „abgeschöpft“ – sie wurde gerettet .

Die Reaktion von EMURGO: EMURGO, eines der drei Gründungsunternehmen von Cardano und Entwickler von SecondFi, finanzierte eine „Asset Recovery Wallet“, um Vermögenswerte an Nutzer zurückzugeben, deren Wallets kompromittiert waren . Berichten zufolge hat sich EMURGO jedoch nicht verpflichtet, alle betroffenen Nutzer vollständig zu entschädigen, sondern nur die geretteten/wiederherstellbaren Gelder zurückzugeben . Der offizielle FAQ besagt, dass die von den Angreifern abgeflossenen Vermögenswerte „geschützt und zugänglich“ seien und dass EMURGO mit IntersectMBO über den Verwahrungsmechanismus spreche .

Warum Charles Hoskinson sagte, das Cardano-Protokoll sei nicht betroffen

In mehreren Stellungnahmen vom 23. bis 25. Juni 2026 betonte Charles Hoskinson, dass die Cardano-Blockchain selbst nicht gehackt wurde . Seine Argumentation stützte sich auf drei Punkte:

• Der Vorfall war auf SecondFis proprietären Code zur Wallet-Generierung auf Anwendungsebene beschränkt – eine Anwendung, nicht das Cardano-Protokoll .
• Es gab keine Hinweise darauf, dass eine Komponente des zugrunde liegenden Cardano-Technologie-Stacks, der Konsensebene oder der Kernkryptografie kompromittiert wurde .
• Hoskinson nannte den Vorfall die „traurige Realität von Krypto“ und betonte, dass das Cardano-Protokoll, die Open-Source-Wallet-Infrastruktur und die Kern-Sicherheit intakt geblieben seien .

Blockchain-Sicherheitsexperten und mehrere Berichte bestätigten diese Unterscheidung unabhängig voneinander: Das Cardano-Netzwerk funktionierte während des gesamten Vorfalls normal weiter .

Wichtige Vorsichtsmaßnahmen für Nutzer: Seed-Phrase nicht wiederherstellen

SecondFi gab eine dringende Warnung heraus: Betroffene Nutzer sollten ihre Wiederherstellungsphrasen NICHT in einem anderen Cardano-Wallet wiederherstellen . Der Vorfall liegt auf der Ebene der privaten Schlüssel – das Einspielen derselben Phrase in ein anderes Wallet behebt die Gefährdung nicht; Angreifer können weiterhin auf diese Adressen zugreifen .

Stattdessen wurden alle Nutzer aufgefordert, vollständig neue Wallets mit neuen Wiederherstellungsphrasen zu erstellen und ihre Gelder sofort zu migrieren .

Wallet-Checker, Kontostand-Snapshots und der Entschädigungsplan

SecondFi erstellte einen vollständigen „Balance Snapshot“ der betroffenen Nutzergelder und zeichnete während der Reaktion auf den Vorfall mehrere Runden von Snapshots auf . Am 26. Juni schloss das Team den finalen Balance Snapshot ab, der als Grundlage für die Rückerstattung dient .

Entschädigungsdetails:

• EMURGO finanzierte eine „Asset Recovery Wallet“, um Vermögenswerte an die betroffenen Nutzer zurückzugeben .
• Die 129 Millionen ADA, die beim Drittverwahrer gesichert wurden, sollen an die rechtmäßigen Eigentümer zurückgegeben werden .
• Ein Entschädigungsantragsverfahren wurde für betroffene Nutzer eröffnet .
• Die Rückgabe der Vermögenswerte sollte etwa zwei Wochen nach dem Snapshot vom 26. Juni beginnen, vorbehaltlich des Abschlusses von Sicherheitstests und internen Überprüfungen .

Warnung vor Betrug: Betrüger geben sich als SecondFi aus

SecondFi warnte, dass betrügerische Akteure sich als SecondFi ausgeben, um gefälschte Wiederherstellungs- bzw. Betrugstools zu verbreiten . Nutzer wurden angewiesen, ausschließlich offizielle Kanäle zu nutzen und daran zu denken, dass kein legitimes Wiederherstellungstool jemals die Weitergabe von Seed-Phrasen erfordert .

Das Team bekräftigte, dass kein legitimes Wiederherstellungstool von Nutzern verlangt, ihre Seed-Phrasen weiterzugeben .