Eksploitasi Dompet SecondFi Cardano: Apa yang Berlaku, Siapa Terjejas, dan Bagaimana 129M ADA Diselamatkan

Apa yang Berlaku: Tiga Gelombang Serangan, 374 Alamat Dikeringkan

Antara 21 dan 23 Jun 2026, satu kelemahan kritikal dalam SecondFi — dompet Cardano yang dahulunya dikenali sebagai Yoroi, dibangunkan oleh EMURGO — telah membenarkan tiga penyerang luar mengeluarkan kira-kira 16 juta ADA (bernilai kira-kira AS$2.4 juta pada masa itu) daripada 374 alamat pengguna dalam tiga gelombang serangan berturut-turut . Token dan NFT turut diambil dari dompet yang terjejas .

Eksploitasi ini ditemui selepas pengguna melaporkan pemindahan tanpa kebenaran dari dompet yang dibuat melalui antara muka web SecondFi. Platform tersebut diletakkan dalam mod penyelenggaraan selamat pada 23 Jun sementara penyiasat mula menganalisis insiden tersebut .

Punca: Kelemahan dalam Perisian Penjanaan Dompet SecondFi

Kelemahan ini dikesan pada perisian penjanaan dompet/kunci proprietari SecondFi — khususnya logik penjanaan alamat Cardano pada tahap kunci peribadi . SecondFi menyifatkan isu ini sebagai kelemahan "tahap alamat" dalam kod penciptaan dompetnya yang mendedahkan kunci peribadi pengguna .

Menurut siasatan SecondFi, serangan ini berpunca daripada kelemahan terbitan nonce deterministik dalam penandatangan perisiannya. Ini membenarkan penyerang membina semula kunci peribadi secara matematik daripada data rantaian blok yang tersedia secara awam selepas alamat yang terjejas menandatangani transaksi .

Yang penting, kompromi ini berlaku dalam lapisan aplikasi SecondFi, bukan dalam protokol Cardano, infrastruktur dompet sumber terbuka, atau kriptografi teras . SecondFi mengesahkan bahawa kelemahan itu terhad kepada perisiannya sendiri, dan tiada komponen asas Cardano terjejas .

Adakah Kerugian Lebih Tinggi daripada Yang Dilaporkan? Penyelamatan 129M ADA

Pada awal insiden, firma keselamatan rantaian blok SlowMist menganggarkan jumlah kerugian boleh melebihi AS$20 juta, dan laporan memberi amaran bahawa sehingga 129 juta ADA yang berada dalam dompet terdedah berisiko .

Tindak balas kecemasan SecondFi adalah agresif: Pasukan mengenal pasti punca, menggunakan tampalan pada dompet yang tidak terjejas, dan — yang paling kritikal — dalam "gelombang keempat" transaksi, mereka mendahului penyerang dan memindahkan 129 juta ADA dari dompet yang masih terdedah kepada pemegang amanah pihak ketiga yang bebas, menjamin dana tersebut sebelum ia boleh dicuri . Jumlah itu tidak "dikeringkan" — ia diselamatkan .

Tindak balas EMURGO: EMURGO, salah satu daripada tiga entiti pengasas Cardano dan pembangun SecondFi, membiayai Dompet Pemulihan Aset khusus untuk memulangkan aset kepada pengguna yang dompetnya terjejas . Walau bagaimanapun, laporan menunjukkan EMURGO tidak komited untuk memberi pampasan penuh kepada semua pengguna terjejas selain daripada memulangkan dana yang diselamatkan/boleh pulih . Soalan Lazim rasmi menyatakan bahawa aset yang dikeringkan oleh penyerang adalah "dilindungi dan boleh diakses" dan EMURGO sedang berbincang dengan IntersectMBO mengenai mekanisme penjagaan .

Mengapa Charles Hoskinson Berkata Protokol Cardano Tidak Terjejas

Dalam beberapa kenyataan pada 23–25 Jun 2026, Charles Hoskinson menekankan bahawa rantaian blok Cardano itu sendiri tidak digodam . Pemikirannya berpusat pada tiga perkara:

• Pelanggaran itu terhad kepada kod penjanaan dompet peringkat aplikasi proprietari SecondFi — satu aplikasi, bukan protokol Cardano .
• Tiada bukti bahawa mana-mana komponen timbunan teknologi asas Cardano, lapisan konsensus, atau kriptografi teras terjejas .
• Hoskinson menggelar insiden itu sebagai "realiti malang kripto" dan menegaskan bahawa protokol Cardano, infrastruktur dompet sumber terbuka, dan keselamatan teras kekal utuh .

Pakar keselamatan rantaian blok dan pelbagai laporan secara bebas mengesahkan perbezaan ini: rangkaian Cardano terus beroperasi seperti biasa sepanjang masa .

Langkah Berjaga-jaga Kritikal Pengguna: Jangan Pulihkan Frasa Benih Anda

SecondFi mengeluarkan amaran segera bahawa pengguna terjejas TIDAK boleh memulihkan frasa pemulihan mereka ke dompet Cardano lain . Kompromi adalah pada tahap kunci peribadi — memulihkan frasa yang sama ke dompet yang berbeza tidak membetulkan pendedahan; penyerang masih boleh mengakses alamat tersebut .

Sebaliknya, semua pengguna dinasihatkan untuk buat dompet baharu sepenuhnya dengan frasa pemulihan baharu dan pindahkan dana dengan segera .

Pemeriksa Dompet, Syot Kilat Baki, dan Pelan Pampasan

SecondFi mencipta syot kilat baki lengkap dana pengguna terjejas dan terus merekodkan pelbagai pusingan syot kilat semasa respons insiden . Pada 26 Jun, pasukan menyelesaikan syot kilat baki akhir untuk dijadikan asas pemprosesan bayaran balik .

Butiran pampasan:

• EMURGO membiayai Dompet Pemulihan Aset khusus untuk memulangkan aset kepada pengguna yang terjejas .
• 129 juta ADA yang dijamin dalam pemegang amanah pihak ketiga dijadualkan untuk dikembalikan kepada pemilik yang sah .
• Proses tuntutan pampasan dibuka untuk pengguna terjejas mengemukakan tuntutan .
• Pulangan aset dijangka bermula dalam masa kira-kira dua minggu dari syot kilat 26 Jun, tertakluk kepada penyiapan ujian keselamatan dan semakan dalaman .

Amaran Scam: Penipu Menyamar Sebagai SecondFi

SecondFi memberi amaran bahawa aktor penipuan menyamar sebagai SecondFi untuk mengedarkan alat pemulihan/scam palsu . Pengguna diarahkan untuk menggunakan hanya saluran rasmi dan ingat bahawa tiada alat pemulihan yang sah memerlukan perkongsian frasa benih .

Pasukan menegaskan semula bahawa tiada alat pemulihan yang sah memerlukan pengguna untuk berkongsi frasa benih mereka .