SecondFi 카르다노 지갑 해킹 사건 총정리

구체적으로는 소프트웨어 서명기의 결정적 논스 파생(Deterministic Nonce Derivation) 결함이 원인이었습니다. 이로 인해 공격자는 피해 주소가 트랜잭션에 서명한 후 공개된 블록체인 데이터만으로 개인 키를 수학적으로 재구성할 수 있었습니다 .

가장 중요한 점은, 이번 침해가 SecondFi의 애플리케이션 레이어 내부에서 발생했다는 것입니다. 카르다노 프로토콜 자체, 오픈소스 지갑 인프라, 또는 핵심 암호화 기술에는 아무런 문제가 없었습니다 . SecondFi는 취약점이 자체 소프트웨어에만 국한되며, 카르다노의 어떤 기본 구성 요소도 영향을 받지 않았다고 공식 확인했습니다 .

손실 규모 논란과 1억 2900만 ADA 긴급 구조 작전

사건 초기, 블록체인 보안 업체 SlowMist는 총 손실이 2000만 달러를 초과할 수 있다고 추정했으며, 일부 보도에서는 취약한 지갑에 남아 있던 최대 1억 2900만 ADA가 위험에 처했다고 경고했습니다 .

SecondFi의 대응은 신속했습니다. 팀은 근본 원인을 파악하고 아직 피해를 입지 않은 지갑에 패치를 배포했습니다. 가장 중요한 조치는 '4차 물결(fourth wave)' 이라고 불리는 긴급 작전이었습니다. SecondFi 팀은 공격자보다 먼저 취약 상태의 지갑에서 1억 2900만 ADA를 독립적인 제3자 수탁 기관으로 이동시켜 추가 도난을 막았습니다 . 이 금액은 도난당한 것이 아니라 긴급 구조(rescued) 된 것입니다 .

EMURGO의 대응: 카르다노의 3대 창립 주체 중 하나이자 SecondFi의 개발사인 EMURGO는 피해 사용자에게 자산을 반환하기 위해 자산 회복 지갑(Asset Recovery Wallet) 을 조성했습니다 . 그러나 일부 보도에 따르면 EMURGO는 구조되었거나 회수 가능한 자금 외에 모든 피해 사용자에게 전액 보상하겠다는 약속은 하지 않은 상태입니다 . 공식 FAQ에 따르면 공격자에게 도난당한 자산은 '보호 및 접근 가능'한 상태이며, EMURGO는 IntersectMBO와 적절한 관리 메커니즘에 대해 논의 중입니다 .

찰스 호스킨슨의 입장: "카르다노는 해킹되지 않았다"

카르다노 창시자 찰스 호스킨슨(Charles Hoskinson)은 2026년 6월 23일부터 25일까지 여러 차례에 걸친 성명에서 카르다노 블록체인 자체는 해킹되지 않았다고 거듭 강조했습니다 . 그의 주장은 세 가지 핵심 근거에 기반합니다.

• 이번 침해는 SecondFi의 자체 독점 애플리케이션 레벨 지갑 생성 코드에 국한된 사고이며, 이는 '애플리케이션'의 문제이지 '카르다노 프로토콜'의 문제가 아닙니다 .
• 카르다노의 기본 기술 스택, 합의 레이어, 핵심 암호화 기술 중 어떤 구성 요소도 손상되었다는 증거가 전혀 없습니다 .
• 호스킨슨은 이 사건을 "암호화폐 세계의 불행한 현실"이라고 표현하며, 카르다노의 프로토콜, 오픈소스 지갑 인프라, 핵심 보안은 그대로 유지되고 있다고 강조했습니다 .

블록체인 보안 전문가들과 다수의 외부 보도 역시 이러한 구분을 독립적으로 확인했으며, 해당 기간 동안 카르다노 네트워크는 정상적으로 작동했습니다 .

피해자를 위한 긴급 주의사항: "시드 프레이즈를 복원하지 마세요"

SecondFi는 피해 사용자들에게 절대 복구 구문(시드 프레이즈/Recovery Phrase)을 다른 카르다노 지갑으로 가져가 복원하지 말 것을 강력히 경고했습니다 . 이번 사고는 개인 키 레벨에서 발생한 침해이기 때문에, 동일한 시드 프레이즈를 다른 지갓에 입력해도 노출된 주소는 여전히 공격자에게 접근 가능한 상태이기 때문입니다 .

대신, 모든 사용자는 완전히 새로운 복구 구문을 가진 새 지갑을 생성하고 즉시 자금을 이동할 것을 권고받았습니다 .

지갑 점검, 잔고 스냅샷 및 보상 계획

SecondFi는 사고 발생 직후 피해 사용자 자금에 대한 완전한 잔고 스냅샷(현재 보유량 기록) 을 생성했으며, 사고 대응 과정에서 여러 차례 추가 스냅샷을 지속적으로 기록했습니다 . 2026년 6월 26일, 팀은 최종 잔고 스냅샷을 완료했으며, 이를 환불 처리의 기준으로 삼을 예정입니다 .

보상 세부 사항:

• EMURGO는 침해된 사용자에게 자산을 반환하기 위해 자산 회복 지갑(Asset Recovery Wallet) 을 조성했습니다 .
• 제3자 수탁 기관에 긴급 이전된 1억 2900만 ADA는 정당한 소유자에게 반환될 예정입니다 .
• 피해 사용자를 위한 보상 청구 절차(Compensation Claim Process) 가 공식적으로 시작되었습니다 .
• 자산 반환은 보안 테스트 및 내부 검토가 완료되는 대로, 6월 26일 스냅샷 기준으로 약 2주 후부터 시작될 것으로 예상됩니다 .

사기 경고: SecondFi 사칭 피싱 주의

SecondFi는 사건을 틈타 SecondFi를 사칭하는 사기 세력이 등장하여 가짜 복구 도구나 피싱 링크를 유포하고 있다고 경고했습니다 . 사용자는 공식 채널만을 이용해야 하며, 어떤 합법적인 복구 도구도 절대 사용자에게 시드 프레이즈(개인 키) 공유를 요구하지 않는다는 점을 명심해야 합니다 .