Exploit SecondFi Cardano : 16 millions d'ADA volés, 129 millions sauvés

Ce qui s'est passé : trois vagues d'attaque, 374 adresses vidées

Entre le 21 et le 23 juin 2026, une vulnérabilité critique dans SecondFi — le portefeuille Cardano anciennement connu sous le nom de Yoroi, développé par EMURGO — a permis à trois attaquants externes de drainer environ 16 millions d'ADA (d'une valeur d'environ 2,4 millions de dollars à l'époque) depuis 374 adresses d'utilisateurs en trois vagues d'attaque successives . Des tokens et des NFT ont également été dérobés depuis les portefeuilles concernés .

L'exploit a été découvert après que des utilisateurs ont signalé des transferts non autorisés depuis des portefeuilles créés via l'interface web de SecondFi. La plateforme a été placée en mode maintenance sécurisé le 23 juin pendant que les enquêteurs commençaient à analyser l'incident .

Cause racine : une faille dans le logiciel de génération de portefeuilles de SecondFi

La vulnérabilité a été attribuée au logiciel propriétaire de génération de portefeuilles web/de clés de SecondFi — plus précisément à sa logique de génération d'adresses Cardano au niveau de la clé privée . SecondFi a décrit le problème comme une faille "au niveau de l'adresse" dans son code de création de portefeuilles, exposant les clés privées des utilisateurs .

Selon l'enquête de SecondFi, l'attaque découlait d'un défaut de dérivation de nonce déterministe dans son signataire logiciel. Cela a permis aux attaquants de reconstituer mathématiquement les clés privées à partir de données de blockchain publiques après que les adresses concernées aient signé des transactions .

Crucialement, la compromission s'est produite au sein de la couche applicative de SecondFi, non dans le protocole Cardano, l'infrastructure de portefeuille open source ou la cryptographie de base . SecondFi a confirmé que la vulnérabilité était limitée à son propre logiciel, et qu'aucun composant sous-jacent de Cardano n'a été affecté .

Les pertes étaient-elles plus élevées que rapporté ? Le sauvetage des 129 millions d'ADA

Au début de l'incident, la société de sécurité blockchain SlowMist estimait les pertes totales à plus de 20 millions de dollars, et des rapports avertissaient que jusqu'à 129 millions d'ADA se trouvant dans des portefeuilles vulnérables étaient en danger .

La réponse d'urgence de SecondFi a été agressive : l'équipe a identifié la cause racine, déployé des correctifs sur les portefeuilles non affectés et — le plus crucial — dans une "quatrième vague" de transactions, a devancé les attaquants et déplacé 129 millions d'ADA depuis les portefeuilles encore vulnérables vers un dépositaire tiers indépendant, sécurisant ces fonds avant qu'ils ne puissent être volés . Ce montant n'a pas été "drainé" — il a été sauvé .

La réponse d'EMURGO : EMURGO, l'une des trois entités fondatrices de Cardano et développeur de SecondFi, a financé un portefeuille de récupération d'actifs spécifiquement pour restituer les actifs aux utilisateurs dont les portefeuilles ont été compromis . Cependant, des rapports indiquent qu'EMURGO ne s'est pas engagé à indemniser entièrement tous les utilisateurs concernés au-delà du retour des fonds récupérés . La FAQ officielle indique que les actifs drainés par les attaquants sont "protégés et accessibles" et qu'EMURGO est en discussion avec IntersectMBO sur le mécanisme de garde .

Pourquoi Charles Hoskinson a déclaré que le protocole Cardano n'était pas affecté

Dans de multiples déclarations les 23-25 juin 2026, Charles Hoskinson a souligné que la blockchain Cardano elle-même n'a pas été piratée . Son raisonnement reposait sur trois points :

• La brèche était confinée au code propriétaire de génération de portefeuilles de SecondFi au niveau applicatif — une application, pas le protocole Cardano .
• Il n'y avait aucune preuve qu'un composant de la pile technologique sous-jacente de Cardano, de sa couche de consensus ou de sa cryptographie de base ait été compromis .
• Hoskinson a qualifié l'incident de "réalité malheureuse de la crypto" et a souligné que le protocole de Cardano, l'infrastructure de portefeuille open source et la sécurité de base restaient intacts .

Des experts en sécurité blockchain et de multiples rapports ont confirmé indépendamment cette distinction : le réseau Cardano a continué à fonctionner normalement tout au long de l'incident .

Précautions critiques pour les utilisateurs : ne restaurez pas votre phrase de récupération

SecondFi a émis un avertissement urgent : les utilisateurs concernés ne doivent PAS restaurer leurs phrases de récupération dans un autre portefeuille Cardano . La compromission se produit au niveau de la clé privée — restaurer la même phrase dans un portefeuille différent ne résout pas l'exposition ; les attaquants peuvent toujours accéder à ces adresses .

Au lieu de cela, tous les utilisateurs ont été invités à créer des portefeuilles entièrement nouveaux avec de nouvelles phrases de récupération et à migrer les fonds immédiatement .

Vérificateur de portefeuille, instantanés des soldes et plan d'indemnisation

SecondFi a créé un instantané complet des soldes des fonds des utilisateurs concernés et a continué à enregistrer plusieurs séries d'instantanés pendant la réponse à l'incident . Le 26 juin, l'équipe a finalisé un dernier instantané des soldes pour servir de base au traitement des remboursements .

Détails de l'indemnisation :

• EMURGO a financé un portefeuille de récupération d'actifs spécifiquement pour restituer les actifs aux utilisateurs compromis .
• Les 129 millions d'ADA sécurisés chez le dépositaire tiers doivent être restitués à leurs propriétaires légitimes .
• Un processus de réclamation d'indemnisation a été ouvert pour les utilisateurs concernés afin de soumettre leurs demandes .
• Les retours d'actifs devaient commencer dans environ deux semaines à compter de l'instantané du 26 juin, sous réserve de la finalisation des tests de sécurité et des examens internes .

Avertissements contre les arnaques : des fraudeurs se font passer pour SecondFi

SecondFi a averti que des acteurs frauduleux se faisaient passer pour SecondFi afin de distribuer de faux outils de récupération/d'escroquerie . Les utilisateurs ont été invités à n'utiliser que les canaux officiels et à se rappeler qu'aucun outil de récupération légitime ne nécessite le partage des phrases de récupération .

L'équipe a réitéré qu'aucun outil de récupération légitime n'exige que les utilisateurs partagent leurs phrases de récupération .