Eksploitasi Dompet SecondFi Cardano: Kronologi, Dampak, dan Upaya Penyelamatan 129 Juta ADA

Akar Masalah: Cacat pada Perangkat Lunak Pembuatan Dompet SecondFi

Kerentanan ini berasal dari perangkat lunak pembuatan dompet web milik SecondFi — khususnya logika pembuatan alamat Cardano pada tingkat kunci privat . SecondFi menggambarkan masalah ini sebagai cacat "tingkat alamat" dalam kode pembuatan dompetnya yang mengekspos kunci privat pengguna .

Menurut penyelidikan SecondFi, serangan ini berawal dari cacat derivasi nonce deterministik dalam penanda tangan perangkat lunaknya. Hal ini memungkinkan penyerang merekonstruksi kunci privat secara matematis dari data rantai blok yang tersedia untuk umum setelah alamat yang terdampak menandatangani transaksi .

Penting untuk dicatat bahwa kompromi terjadi di dalam lapisan aplikasi SecondFi, bukan pada protokol Cardano, infrastruktur dompet sumber terbuka, atau kriptografi inti . SecondFi mengonfirmasi bahwa kerentanan terbatas pada perangkat lunaknya sendiri, dan tidak ada komponen Cardano yang mendasarinya terpengaruh .

Apakah Kerugian Lebih Tinggi dari yang Dilaporkan? Penyelamatan 129 Juta ADA

Di awal insiden, firma keamanan rantai blok SlowMist memperkirakan total kerugian bisa melampaui $20 juta, dan laporan memperingatkan bahwa hingga 129 juta ADA yang berada di dompet rentan berisiko .

Respons darurat SecondFi sangat agresif: Tim mengidentifikasi akar masalah, menerapkan tambalan ke dompet yang tidak terpengaruh, dan — yang paling kritis — dalam "gelombang keempat" transaksi, mereka mendahului penyerang dan memindahkan 129 juta ADA dari dompet yang masih rentan ke kustodian pihak ketiga yang independen, mengamankan dana tersebut sebelum sempat dicuri . Jumlah itu tidak "dikuras" — melainkan diselamatkan .

Respons EMURGO: EMURGO, salah satu dari tiga entitas pendiri Cardano dan pengembang SecondFi, mendanai Dompet Pemulihan Aset khusus untuk mengembalikan aset kepada pengguna yang dompetnya disusupi . Namun, laporan menunjukkan EMURGO belum berkomitmen untuk memberikan kompensasi penuh kepada semua pengguna yang terdampak di luar pengembalian dana yang diselamatkan/dapat dipulihkan . FAQ resmi menyatakan bahwa aset yang dikuras penyerang "terlindungi dan dapat diakses" dan EMURGO sedang dalam diskusi dengan IntersectMBO mengenai mekanisme penitipan .

Mengapa Charles Hoskinson Berkata Protokol Cardano Tidak Terpengaruh

Dalam beberapa pernyataan pada 23-25 Juni 2026, Charles Hoskinson menekankan bahwa rantai blok Cardano sendiri tidak diretas . Alasannya berpusat pada tiga poin:

• Pelanggaran terbatas pada kode pembuatan dompet tingkat aplikasi milik SecondFi — sebuah aplikasi, bukan protokol Cardano .
• Tidak ada bukti bahwa komponen apa pun dari tumpukan teknologi dasar Cardano, lapisan konsensus, atau kriptografi inti disusupi .
• Hoskinson menyebut insiden itu sebagai "kenyataan pahit kripto" dan menekankan bahwa protokol Cardano, infrastruktur dompet sumber terbuka, dan keamanan inti tetap utuh .

Pakar keamanan rantai blok dan berbagai laporan secara independen mengonfirmasi perbedaan ini: jaringan Cardano terus beroperasi secara normal selama insiden berlangsung .

Tindakan Pencegahan Kritis bagi Pengguna: Jangan Pulihkan Frasa Pemulihan Anda

SecondFi mengeluarkan peringatan mendesak bahwa pengguna yang terdampak TIDAK boleh memulihkan frasa pemulihan mereka ke dompet Cardano lain . Kompromi terjadi pada tingkat kunci privat — memulihkan frasa yang sama ke dompet yang berbeda tidak memperbaiki eksposur; penyerang masih dapat mengakses alamat-alamat tersebut .

Sebagai gantinya, semua pengguna disarankan untuk membuat dompet yang benar-benar baru dengan frasa pemulihan baru dan memindahkan dana segera .

Pemeriksa Dompet, Jepretan Saldo, dan Rencana Kompensasi

SecondFi membuat jepretan saldo lengkap dari dana pengguna yang terdampak dan terus merekam beberapa putaran jepretan selama respons insiden . Pada 26 Juni, tim menyelesaikan jepretan saldo akhir untuk dijadikan dasar pemrosesan pengembalian dana .

Detail kompensasi:

• EMURGO mendanai Dompet Pemulihan Aset khusus untuk mengembalikan aset kepada pengguna yang disusupi .
• 129 juta ADA yang diamankan di kustodian pihak ketiga dijadwalkan untuk dikembalikan kepada pemilik yang sah .
• Proses klaim kompensasi dibuka bagi pengguna yang terdampak untuk mengajukan klaim .
• Pengembalian aset diharapkan dimulai dalam waktu sekitar dua minggu sejak jepretan 26 Juni, menunggu selesainya pengujian keamanan dan tinjauan internal .

Peringatan Penipuan: Penipu Meniru SecondFi

SecondFi memperingatkan bahwa aktor penipuan meniru SecondFi untuk mendistribusikan alat pemulihan/penipuan palsu . Pengguna diinstruksikan untuk hanya menggunakan saluran resmi dan ingat bahwa tidak ada alat pemulihan yang sah yang memerlukan pembagian frasa pemulihan .

Tim menegaskan kembali bahwa tidak ada alat pemulihan yang sah yang mengharuskan pengguna untuk membagikan frasa pemulihan mereka .