Взлом кошелька SecondFi Cardano: что произошло, кого затронуло и как спасли 129M ADA

Что произошло: три волны атак, 374 адреса опустошены

В период с 21 по 23 июня 2026 года критическая уязвимость в кошельке SecondFi (ранее известном как Yoroi, разработанном EMURGO) позволила трем внешним злоумышленникам вывести приблизительно 16 миллионов ADA (около $2.4 млн на тот момент) из 374 адресов пользователей. Атака прошла в три последовательные волны . Из затронутых кошельков также были похищены токены и NFT .

Эксплойт был обнаружен после того, как пользователи сообщили о несанкционированных переводах из кошельков, созданных через веб-интерфейс SecondFi. Платформа была переведена в режим безопасного обслуживания 23 июня, пока следователи приступили к анализу инцидента .

Коренная причина: дефект в ПО генерации кошельков SecondFi

Уязвимость была обнаружена в проприетарном программном обеспечении генерации кошельков/ключей SecondFi — а именно в логике генерации адресов Cardano на уровне приватных ключей . SecondFi охарактеризовал проблему как "дефект на уровне адреса" в коде создания кошелька, который раскрывал приватные ключи пользователей .

Согласно расследованию SecondFi, атака стала возможной из-за детерминированной ошибки вывода nonce в программном подписанте. Это позволило злоумышленникам математически восстановить приватные ключи из общедоступных данных блокчейна после того, как затронутые адреса подписывали транзакции .

Ключевой момент: компрометация произошла в прикладном слое SecondFi, а не в протоколе Cardano, открытой инфраструктуре кошельков или базовой криптографии . SecondFi подтвердил, что уязвимость была ограничена его собственным программным обеспечением, и ни один базовый компонент Cardano не пострадал .

Были ли потери выше заявленных? Спасательная операция на 129M ADA

В начале инцидента компания по блокчейн-безопасности SlowMist оценила общие потери в сумму, превышающую $20 млн, а в отчетах предупреждалось, что до 129 миллионов ADA, находившихся в уязвимых кошельках, находятся под угрозой .

Реагирование SecondFi было агрессивным: команда определила первопричину, развернула патчи для незатронутых кошельков и, что наиболее критично, в ходе "четвертой волны" транзакций опередила атакующих и переместила 129 миллионов ADA из все еще уязвимых кошельков к независимому стороннему кастодиану, обезопасив эти средства до того, как они могли быть украдены . Эта сумма не была "выведена" — она была спасена .

Реакция EMURGO: EMURGO, одна из трех организаций-основателей Cardano и разработчик SecondFi, профинансировала создание Кошелька для возврата активов (Asset Recovery Wallet) специально для возврата средств пользователям, чьи кошельки были скомпрометированы . Однако, по имеющимся данным, EMURGO не взяла на себя обязательство полностью компенсировать всем пострадавшим пользователям ущерб, помимо возврата спасенных/восстановимых средств . В официальном FAQ говорится, что активы, выведенные злоумышленниками, "защищены и доступны", и что EMURGO ведет переговоры с IntersectMBO о механизме кастодиального хранения .

Почему Чарльз Хоскинсон заявил, что протокол Cardano не пострадал

В нескольких заявлениях 23–25 июня 2026 года Чарльз Хоскинсон подчеркивал, что сам блокчейн Cardano не был взломан . Его аргументация сводилась к трем пунктам:

• Нарушение было ограничено проприетарным кодом генерации кошельков SecondFi на уровне приложения — это приложение, а не протокол Cardano .
• Не было никаких доказательств того, что какой-либо компонент базового технологического стека Cardano, консенсусного слоя или базовой криптографии был скомпрометирован .
• Хоскинсон назвал инцидент "неизбежной реальностью криптовалют" и подчеркнул, что протокол Cardano, открытая инфраструктура кошельков и базовая безопасность остались нетронутыми .

Эксперты по блокчейн-безопасности и многочисленные отчеты независимо подтвердили это различие: сеть Cardano продолжала нормально функционировать на протяжении всего инцидента .

Критические меры предосторожности для пользователей: НЕ восстанавливайте свою сид-фразу

SecondFi выпустил срочное предупреждение о том, что пострадавшие пользователи НЕ ДОЛЖНЫ восстанавливать свои сид-фразы в другом кошельке Cardano . Компрометация происходит на уровне приватных ключей — восстановление той же фразы в другом кошельке не устраняет уязвимость; злоумышленники все еще могут получить доступ к этим адресам .

Вместо этого всем пользователям было рекомендовано создать совершенно новые кошельки с новыми сид-фразами и немедленно перевести туда средства .

Проверка кошелька, снимки балансов и план компенсаций

SecondFi создал полный снимок баланса затронутых средств пользователей и продолжал записывать несколько раундов снимков в ходе реагирования на инцидент . 26 июня команда завершила финальный снимок баланса, который послужит основой для обработки возвратов .

Детали компенсации:

• EMURGO профинансировал Кошелек для возврата активов (Asset Recovery Wallet) специально для возврата средств скомпрометированным пользователям .
• Средства в размере 129 миллионов ADA, сохраненные у стороннего кастодиана, предназначены для возврата законным владельцам .
• Был открыт процесс подачи заявок на компенсацию для пострадавших пользователей .
• Ожидалось, что возврат активов начнется примерно через после снимка от 26 июня, после завершения тестирования безопасности и внутренних проверок .

Предупреждения о мошенничестве: злоумышленники выдают себя за SecondFi

SecondFi предупредил, что мошенники выдают себя за SecondFi, распространяя поддельные инструменты для восстановления/скам-инструменты . Пользователям было поручено использовать только официальные каналы и помнить, что ни один легитимный инструмент восстановления никогда не требует передачи сид-фраз .

Команда еще раз подчеркнула, что ни один легитимный инструмент восстановления не требует от пользователей раскрытия их сид-фраз .