SecondFi Cardano -lompakon tietoturva-aukko: Näin 16 miljoonaa ADAa varastettiin ja 129 miljoonaa ADAa pelastettiin

Mitä tapahtui: Kolme hyökkäysaaltoa ja 374 tyhjennettyä osoitetta

21.–23.6.2026 välisenä aikana SecondFissa (Cardano-lompakko, joka tunnettiin aiemmin nimellä Yoroi ja jonka rakensi EMURGO) havaittu kriittinen haavoittuvuus mahdollisti kolmen ulkopuolisen hyökkääjän tyhjentää noin 16 miljoonaa ADAa (arvoltaan noin 2,4 miljoonaa dollaria) 374 käyttäjän osoitteesta kolmessa peräkkäisessä hyökkäysaallossa . Lisäksi hyökkääjät veivät tokeneita ja NFT:itä .

Haavoittuvuus havaittiin, kun käyttäjät ilmoittivat luvattomista siirroista lompakoista, jotka oli luotu SecondFin verkkokäyttöliittymän kautta. Alusta asetettiin suojaavaan ylläpitotilaan 23. kesäkuuta, jonka jälkeen tutkijat alkoivat analysoida tapahtumaa .

Perussyy: Vika SecondFin lompakon luontiohjelmistossa

Haavoittuvuus palautui SecondFin omaan lompakon luonti- ja avainten luontiohjelmistoon – erityisesti Cardano-osoitteiden luontilogiikkaan yksityisavainten tasolla . SecondFi kuvasi ongelmaa osoitetason virheeksi lompakon luontikoodissa, joka paljasti käyttäjien yksityisavaimet .

SecondFin tutkimuksen mukaan hyökkäys johtui deterministisestä nonce-johdantovirheestä ohjelmiston allekirjoittajassa. Tämä mahdollisti hyökkääjien matemaattisesti rekonstruoida yksityisavaimia julkisesti saatavilla olevasta lohkoketjudatasta sen jälkeen, kun vaikutuksen alaiset osoitteet olivat allekirjoittaneet transaktioita .

Hyökkäys tapahtui SecondFin sovelluskerroksessa, ei Cardanon protokollassa, avoimen lähdekoodin lompakkoinfrastruktuurissa tai ydinkryptografiassa . SecondFi vahvisti, että haavoittuvuus rajoittui sen omaan ohjelmistoon, eikä mikään Cardanon taustalla oleva komponentti vaikuttanut .

Olivatko tappiot suuremmat kuin raportoitiin? 129 miljoonan ADAn pelastusoperaatio

Tapahtuman alkuvaiheessa lohkoketjuturvayhtiö SlowMist arvioi kokonaistappioiden voivan ylittää 20 miljoonaa dollaria, ja raporttien mukaan jopa 129 miljoonaa ADAa haavoittuvissa lompakoissa oli vaarassa .

SecondFin hätätoimet olivat nopeita: tiimi tunnisti perimmäisen syyn, korjasi vian vahingoittumattomiin lompakoihin ja – mikä tärkeintä – neljännellä siirtoaallolla ohitti hyökkääjät ja siirsi 129 miljoonaa ADAa vielä haavoittuvista lompakoista riippumattomalle kolmannen osapuolen säilyttäjälle, turvaten nämä varat ennen kuin ne ehdittiin varastaa . Tämä summa ei siis ole "tyhjennetty" vaan pelastettu .

EMURGOn vastaus: EMURGO, yksi Cardanon kolmesta perustajatahosta ja SecondFin kehittäjä, rahoitti Asset Recovery -lompakon palauttaakseen omaisuutta niille käyttäjille, joiden lompakot vaarantuivat . Raportit kuitenkin kertovat, ettei EMURGO ole sitoutunut korvaamaan täysimääräisesti kaikkia käyttäjiä pelastettujen/palautettavien varojen lisäksi . Virallisessa UKK-osiossa kerrotaan, että hyökkääjien tyhjentämät varat ovat "suojattuja ja saavutettavissa", ja EMURGO keskustelee IntersectMBO:n kanssa säilytysmekanismista .

Miksi Charles Hoskinson sanoi, ettei Cardanon protokolla vaikuttanut

Useissa lausunnoissaan 23.–25.6.2026 Charles Hoskinson korosti, ettei Cardanon lohkoketjua itseään hakkeroitu . Hänen perustelunsa perustuvat kolmeen asiaan:

• Murto rajoittui SecondFin omaan lompakon luontikoodiin – sovellukseen, ei Cardanon protokollaan .
• Ei ollut todisteita, että mikään Cardanon taustalla olevasta teknologiapinosta, konsensuskerroksesta tai ydinkryptografiasta olisi vaarantunut .
• Hoskinson kutsui tapahtumaa "krypton valitettavaksi todellisuudeksi" ja korosti, että Cardanon protokolla, avoimen lähdekoodin lompakkoinfrastruktuuri ja ydinturvallisuus olivat säilyneet koskemattomina .

Lohkoketjuturva-asiantuntijat ja useat raportit vahvistivat tämän eron itsenäisesti: Cardanon verkko toimi normaalisti koko tapahtuman ajan .

Kriittinen varoitus käyttäjille: Älä palauta siemenlausettasi

SecondFi antoi kiireellisen varoituksen, että käyttäjien, joiden lompakko vaarantui, EI PITÄISI palauttaa siemenlauseitaan toiseen Cardano-lompakkoon . Vaara on yksityisavaintasolla – saman lauseen palauttaminen toiseen lompakkoon ei korjaa altistumista, ja hyökkääjät voivat silti päästä käsiksi näihin osoitteisiin .

Sen sijaan kaikkia käyttäjiä kehotettiin luomaan täysin uudet lompakot uusilla siemenlauseilla ja siirtämään varat välittömästi .

Lompakon tarkistus, saldotilanne ja korvaussuunnitelma

SecondFi otti täydellisen tilannekuvan vaikutuksen alaisten käyttäjien varoista ja jatkoi useiden tilannekuvien tallentamista tapahtuman aikana . 26. kesäkuuta tiimi otti lopullisen tilannekuvan, joka toimii palautusprosessin perustana .

Korvauksen yksityiskohdat:

• EMURGO rahoitti Asset Recovery -lompakon palauttaakseen omaisuutta vaarantuneille käyttäjille .
• Kolmannen osapuolen säilyttäjässä olevat 129 miljoonaa ADAa on tarkoitus palauttaa oikeille omistajille .
• Korvaushakemusprosessi avattiin vaikutuksen alaisille käyttäjille .
• Omaisuuden palautusten odotettiin alkavan noin kahden viikon kuluessa 26. kesäkuuta otetusta tilannekuvasta, edellyttäen että tietoturvatarkastukset ja sisäiset arvioinnit saadaan päätökseen .

Huijausvaroitukset: Rikolliset tekeytyvät SecondFiksi

SecondFi varoitti, että petolliset toimijat tekeytyvät SecondFiksi jakaakseen väärennettyjä palautus/apuvälineitä . Käyttäjiä kehotettiin käyttämään vain virallisia kanavia ja muistamaan, ettei mikään laillinen palautustyökalu edellytä siemenlauseiden jakamista .

Tiimi toisti, ettei mikään laillinen palautustyökalu vaadi käyttäjiä jakamaan siemenlauseitaan .