Attacco a SecondFi: 16 Milioni di ADA Rubati, 129 Milioni Salvati. Ecco la Verità

La vulnerabilità è stata ricondotta al software proprietario di generazione wallet/chiavi di SecondFi — in particolare alla logica di generazione degli indirizzi Cardano a livello di chiave privata . SecondFi ha descritto il problema come una falla "a livello di indirizzo" nel suo codice di creazione wallet che ha esposto le chiavi private degli utenti .

Secondo l'indagine di SecondFi, l'attacco è stato reso possibile da un difetto nella derivazione deterministica del nonce nel suo firmatario software. Questo ha permesso agli attaccanti di ricostruire matematicamente le chiavi private a partire dai dati pubblici della blockchain, dopo che gli indirizzi colpiti avevano firmato transazioni .

Fondamentalmente, la violazione è avvenuta all'interno del layer applicativo di SecondFi, non nel protocollo Cardano, nell'infrastruttura open-source del wallet o nella crittografia di base . SecondFi ha confermato che la vulnerabilità era confinata al suo software, e nessun componente sottostante di Cardano è stato colpito .

Perdite Più Alte del Previsto? Il Salvataggio dei 129 Milioni di ADA

All'inizio dell'incidente, la società di sicurezza blockchain SlowMist ha stimato che le perdite totali potessero superare i 20 milioni di dollari, e diversi rapporti avvertivano che fino a 129 milioni di ADA in wallet vulnerabili erano a rischio .

La risposta di emergenza di SecondFi è stata aggressiva: il team ha identificato la causa principale, implementato patch per i wallet non colpiti e, cosa più critica, in una "quarta ondata" di transazioni, ha anticipato gli attaccanti, spostando 129 milioni di ADA dai wallet ancora vulnerabili a un custode terzo indipendente, mettendo al sicuro quei fondi prima che potessero essere rubati . Tale importo non è stato "drenato" — è stato messo in salvo .

La risposta di EMURGO: EMURGO, una delle tre entità fondatrici di Cardano e sviluppatore di SecondFi, ha finanziato un Asset Recovery Wallet appositamente per restituire i beni agli utenti i cui wallet erano stati compromessi . Tuttavia, i rapporti indicano che EMURGO non si è impegnata a risarcire completamente tutti gli utenti colpiti oltre alla restituzione dei fondi recuperati/messi in salvo . La FAQ ufficiale afferma che i beni drenati dagli attaccanti sono "protetti e accessibili" e che EMURGO è in discussione con IntersectMBO per il meccanismo di custodia .

Perché Charles Hoskinson Ha Detto che il Protocollo Cardano Non Era Coinvolto

In diverse dichiarazioni tra il 23 e il 25 giugno 2026, Charles Hoskinson ha sottolineato che la blockchain di Cardano in sé non è stata hackerata . Il suo ragionamento si basava su tre punti:

• La violazione era confinata al codice proprietario di generazione wallet di SecondFi a livello applicativo — un'applicazione, non il protocollo Cardano .
• Non c'erano prove che alcun componente dello stack tecnologico sottostante di Cardano, del layer di consenso o della crittografia di base fosse stato compromesso .
• Hoskinson ha definito l'incidente la "sfortunata realtà del crypto" e ha sottolineato che il protocollo di Cardano, l'infrastruttura wallet open-source e la sicurezza di base erano rimasti intatti .

Esperti di sicurezza blockchain e molteplici rapporti hanno confermato indipendentemente questa distinzione: la rete Cardano ha continuato a funzionare normalmente per tutto il tempo .

Precauzioni Critiche per gli Utenti: Non Ripristinare la Frase di Recupero

SecondFi ha emesso un avviso urgente che gli utenti colpiti NON dovrebbero ripristinare le loro frasi di recupero in un altro wallet Cardano . La violazione è a livello di chiave privata — ripristinare la stessa frase in un wallet diverso non risolve l'esposizione; gli attaccanti possono ancora accedere a quegli indirizzi .

A tutti gli utenti è stato invece consigliato di creare wallet completamente nuovi con nuove frasi di recupero e trasferire immediatamente i fondi .

Wallet Checker, Snapshot dei Saldi e il Piano di Compensazione

SecondFi ha creato uno snapshot completo dei saldi dei fondi degli utenti colpiti e ha continuato a registrare più tornate di snapshot durante la risposta all'incidente . Il 26 giugno, il team ha completato uno snapshot finale dei saldi che servirà come base per l'elaborazione dei rimborsi .

Dettagli sulla compensazione:

• EMURGO ha finanziato un Asset Recovery Wallet appositamente per restituire i beni agli utenti compromessi .
• I 129 milioni di ADA messi al sicuro presso il custode terzo sono destinati a essere restituiti ai legittimi proprietari .
• Un processo di richiesta di risarcimento è stato aperto per gli utenti colpiti per presentare le loro richieste .
• Si prevedeva che le restituzioni dei beni iniziassero entro circa due settimane dallo snapshot del 26 giugno, in attesa del completamento dei test di sicurezza e delle revisioni interne .

Avviso di Truffa: I Truffatori si Stanno Spacciando per SecondFi

SecondFi ha avvertito che attori fraudolenti si stavano spacciando per SecondFi per distribuire falsi strumenti di recupero/truffa . Agli utenti è stato detto di utilizzare solo canali ufficiali e di ricordare che nessuno strumento di recupero legittimo richiede mai di condividere le frasi di recupero .