SecondFi Cardano Cüzdan Açığı: 16 Milyon ADA Çalındı, 129 Milyon ADA Kurtarıldı

Ne Oldu: Üç Saldırı Dalgası, 374 Adres Hedef Alındı

21-23 Haziran 2026 tarihleri arasında, SecondFi (EMURGO tarafından geliştirilen, eski adıyla Yoroi) adlı Cardano cüzdanındaki kritik bir güvenlik açığı, üç harici saldırganın üç ardışık dalga halinde 374 kullanıcı adresinden yaklaşık 16 milyon ADA (o dönemki değeriyle yaklaşık 2,4 milyon dolar) çalmasına izin verdi . Saldırıdan etkilenen cüzdanlardan token'lar ve NFT'ler de çalındı .

Açık, kullanıcıların SecondFi web arayüzü üzerinden oluşturdukları cüzdanlardan yetkisiz transferler bildirmesiyle keşfedildi. Platform, 23 Haziran'da güvenli bakım moduna alınırken, araştırmacılar olayı incelemeye başladı .

Temel Neden: SecondFi'nin Cüzdan Oluşturma Yazılımındaki Bir Kusur

Güvenlik açığı, SecondFi'nin özel web cüzdanı oluşturma/anahtar oluşturma yazılımına kadar izlendi. Özellikle, özel anahtar seviyesindeki Cardano adres oluşturma mantığı hedef alındı . SecondFi, sorunu, kullanıcıların özel anahtarlarını ifşa eden cüzdan oluşturma kodundaki bir "adres seviyesi" hatası olarak tanımladı .

SecondFi'nin soruşturmasına göre saldırı, yazılım imzalayıcısındaki deterministik bir nonce (rastgele sayı) türetme hatasından kaynaklandı. Bu, saldırganların, etkilenen adresler işlem imzaladıktan sonra halka açık blok zinciri verilerinden özel anahtarları matematiksel olarak yeniden oluşturmasına olanak tanıdı .

Kritik olarak, bu güvenlik ihlali SecondFi'nin uygulama katmanı içinde gerçekleşti, Cardano protokolünde, açık kaynaklı cüzdan altyapısında veya temel şifrelemede değil . SecondFi, güvenlik açığının kendi yazılımına özgü olduğunu ve hiçbir temel Cardano bileşeninin etkilenmediğini doğruladı .

Kayıplar Bildirilenden Daha mı Yüksekti? 129 Milyon ADA'nın Kurtarılması

Olayın başlarında, blok zinciri güvenlik firması SlowMist toplam kayıpların 20 milyon doları aşabileceğini tahmin ederken, raporlar risk altındaki cüzdanlarda 129 milyon ADA'ya kadar fon bulunduğu konusunda uyardı .

SecondFi'nin acil müdahalesi agresifti: Ekip, temel nedeni belirledi, etkilenmeyen cüzdanlara yamalar dağıttı ve en kritik hamle olarak, bir "dördüncü dalga" işlemle saldırganların önüne geçerek hâlâ savunmasız durumdaki cüzdanlardan 129 milyon ADA'yı bağımsız bir üçüncü taraf saklayıcıya taşıdı ve bu fonların çalınmasını engelledi . Bu miktar "çalınmadı"—kurtarıldı .

EMURGO'nun yanıtı: Cardano'nun üç kurucu kuruluşundan biri ve SecondFi'nin geliştiricisi olan EMURGO, cüzdanları tehlikeye giren kullanıcılara varlıklarını iade etmek için özel olarak bir Varlık Kurtarma Cüzdanı oluşturdu . Ancak raporlar, EMURGO'nun kurtarılan/iade edilebilir fonların ötesinde, etkilenen tüm kullanıcıları tam olarak tazmin etme taahhüdünde bulunmadığını gösteriyor . Resmi SSS bölümü, saldırganlar tarafından çalınan varlıkların "korunduğunu ve erişilebilir olduğunu" ve EMURGO'nun saklama mekanizması konusunda IntersectMBO ile görüşmelerde olduğunu belirtiyor .

Charles Hoskinson Neden Cardano Protokolünün Etkilenmediğini Söyledi?

Charles Hoskinson, 23-25 Haziran 2026 tarihlerinde yaptığı çok sayıda açıklamada, Cardano blok zincirinin kendisinin hacklenmediğini vurguladı . Gerekçesi üç noktada toplanıyor:

• İhlal, SecondFi'nin özel uygulama düzeyindeki cüzdan oluşturma koduyla sınırlıydı—bu bir uygulamaydı, Cardano protokolü değil .
• Cardano'nun temel teknoloji yığınının, konsensüs katmanının veya temel şifrelemesinin herhangi bir bileşeninin tehlikeye girdiğine dair hiçbir kanıt yoktu .
• Hoskinson, olayı "kriptonun talihsiz gerçeği" olarak nitelendirdi ve Cardano'nun protokolü, açık kaynaklı cüzdan altyapısı ve temel güvenliğinin sağlam kaldığını vurguladı .

Blok zinciri güvenlik uzmanları ve birden fazla rapor bu ayrımı bağımsız olarak doğruladı: Cardano ağı tüm bu süreç boyunca normal şekilde çalışmaya devam etti .

Kritik Kullanıcı Önlemleri: Kurtarma İfadenizi Kullanmayın

SecondFi, etkilenen kullanıcıların kurtarma ifadelerini (seed phrase) başka bir Cardano cüzdanına aktarmamaları konusunda acil bir uyarı yayınladı . Güvenlik açığı özel anahtar seviyesinde olduğu için, aynı ifadeyi farklı bir cüzdana aktarmak sorunu çözmez; saldırganlar bu adreslere hâlâ erişebilir .

Bunun yerine, tüm kullanıcılara yeni kurtarma ifadeleriyle tamamen yeni cüzdanlar oluşturmaları ve fonları derhal taşımaları tavsiye edildi .

Cüzdan Kontrol Aracı, Bakiye Anlık Görüntüleri ve Tazminat Planı

SecondFi, etkilenen kullanıcı fonlarının tam bir bakiye anlık görüntüsünü (snapshot) oluşturdu ve olay müdahalesi sırasında birden fazla tur anlık görüntü kaydetmeye devam etti . Ekip, 26 Haziran'da, geri ödeme işlemlerine temel teşkil edecek nihai bakiye anlık görüntüsünü tamamladı .

Tazminat detayları:

• EMURGO, varlıkları tehlikeye giren kullanıcılara iade etmek için özel bir Varlık Kurtarma Cüzdanı oluşturdu .
• Üçüncü taraf saklayıcıda güvence altına alınan 129 milyon ADA'nın, doğru sahiplerine iade edilmesi planlanıyor .
• Etkilenen kullanıcıların taleplerini iletebilmeleri için bir tazminat başvuru süreci başlatıldı .
• Varlık iadelerinin, güvenlik testleri ve dahili incelemelerin tamamlanmasının ardından, 26 Haziran'daki anlık görüntüden itibaren yaklaşık iki hafta içinde başlaması bekleniyor .

Dolandırıcılık Uyarıları: Sahtekarlar SecondFi'yi Taklit Ediyor

SecondFi, sahte kurtarma/ dolandırıcılık araçları dağıtmak için dolandırıcıların SecondFi'yi taklit ettiği konusunda uyardı . Kullanıcılara yalnızca resmi kanalları kullanmaları ve hiçbir meşru kurtarma aracının kurtarma ifadelerini (seed phrase) paylaşmayı gerektirmediğini unutmamaları talimatı verildi .

Ekip, hiçbir meşru kurtarma aracının kullanıcıların kurtarma ifadelerini paylaşmasını gerektirmediğini yineledi .