SecondFi Cardano銀包漏洞全分析：1600萬ADA被盜，團隊點樣救返1.29億ADA？

事件經過：三波攻擊，374個地址被清空

2026年6月21日至23日期間，SecondFi（即係之前叫Yoroi嘅Cardano銀包，由EMURGO開發）出現嚴重保安漏洞，三個外部駭客分三輪攻擊，總共由374個用戶地址度盜走大約1600萬ADA（當時市值約240萬美元）。受影響嘅銀包入面啲代幣同NFT都冇得倖免。

SecondFi喺6月23日收到用戶報告發現有未經授權嘅轉帳，即刻將平台轉為安全維護模式，同時展開調查。

漏洞根源：SecondFi錢包生成軟件出事

呢次漏洞係出自SecondFi嘅專有Web錢包生成／金鑰生成軟件——特別係佢哋嘅Cardano地址生成邏輯，喺私鑰層面出問題。SecondFi將呢個問題形容為「地址層面」嘅缺陷，令到用戶嘅私鑰曝露。

根據SecondFi嘅調查，攻擊嘅源頭係軟件簽署器入面一個deterministic nonce推導漏洞。駭客可以利用受影響地址簽署交易後嘅區塊鏈公開數據，透過數學方法逆向推算出私鑰。

關鍵係，呢個漏洞只係喺SecondFi嘅應用程式層，並唔係Cardano協議、開源錢包基礎設施或者核心密碼學嗰度出問題。SecondFi確認漏洞只限於自己嘅軟件，冇影響到任何Cardano底層組件。

損失係咪仲大？1.29億ADA點樣救返？

事件初期，區塊鏈安全公司SlowMist估計總損失可能超過2000萬美元，有報告更警告話有高達1.29億ADA喺高危錢包入面，隨時會被盜。

SecondFi嘅應急反應好快：團隊搵到根源，幫未受影響嘅錢包修補漏洞，而最關鍵嘅係，喺所謂嘅「第四波」交易入面，團隊快過駭客一步，將1.29億ADA由仍然高危嘅錢包轉去一個獨立嘅第三方託管人，保住咗呢啲資金先。呢筆錢並唔係「被盜走」，而係「被救返」。

EMURGO嘅回應： EMURGO係Cardano三大創辦實體之一，亦係SecondFi嘅開發者。佢哋開設咗一個「資產回收錢包」，專登用嚟將資產歸還俾受影響嘅用戶。不過，有報告話EMURGO並冇承諾會全面賠償所有受影響嘅用戶，只係會歸還被救返或者可以追回嘅資金。官方FAQ就話，俾駭客盜走嘅資產「受保護而且可存取」，EMURGO正同IntersectMBO商討託管機制。

點解Charles Hoskinson話Cardano協議冇事？

2026年6月23日至25日期間，Charles Hoskinson多次強調Cardano區塊鏈本身冇被黑客入侵。佢嘅理據主要有三點：

• 漏洞只係局限喺SecondFi嘅專有應用層錢包生成程式碼——呢個係一個應用程式，唔係Cardano協議。
• 冇證據顯示Cardano嘅底層技術堆疊、共識層或者核心密碼學有任何組件受損。
• Hoskinson形容呢次事件係「加密貨幣唔好嘅現實」，強調Cardano嘅協議、開源錢包基礎設施同核心保安完全冇問題。

區塊鏈安全專家同多份報告都獨立確認咗呢個分別：Cardano網絡喺成個事件入面一直正常運作。

用戶重要警告：千祈唔好還原種子短語！

SecondFi發出緊急警告，叫受影響嘅用戶千祈唔好將佢哋嘅恢復短語（seed phrase）匯入另一個Cardano銀包。漏洞係喺私鑰層面——將同一組短語匯入另一個銀包並唔會解決問題；駭客仍然可以存取呢啲地址。

相反，所有用戶都應該建立全新嘅銀包，用全新嘅恢復短語，然後立即搬走啲資金。

錢包檢測、餘額快照同賠償計劃

SecondFi製作咗受影響用戶資金嘅完整餘額快照，並喺事件應對期間持續記錄多輪快照。6月26日，團隊完成咗最後一輪餘額快照，作為退款處理嘅基準。

賠償細節：

• EMURGO開設咗一個資產回收錢包，專門用嚟將資產歸還俾受影響嘅用戶。
• 喺第三方託管人嗰度嘅1.29億ADA會物歸原主。
• 賠償索償程序已經開放，受影響用戶可以提交索償。
• 資產歸預計會喺6月26日快照後大約兩星期內開始，但要等安全測試同內部審查完成先得。

詐騙警告：有人冒充SecondFi呃人

SecondFi警告話，有騙徒冒充SecondFi，散播假嘅恢復工具同詐騙連結。用戶應該只使用官方渠道，同埋記得冇任何正規嘅恢復工具會要求你分享種子短語。

團隊重申，冇任何正規嘅恢復工具會要求用戶分享佢哋嘅種子短語。