SecondFi (Yoroi) zhakowany — 16 mln ADA skradzione

Zespół SecondFi ujawnił 23 czerwca, że aplikacja została zhakowana. Firma natychmiast wstrzymała działanie portfela i przełączyła program w tryb serwisowy. Na wstępie wskazano, że bezpośrednio dotkniętych było około 178 portfeli.

SecondFi oszacowało potwierdzone straty na około 16 mln ADA, co w momencie ataku odpowiadało około 2,4 mln dolarów. Analiza ruchu środków on‑chain przeprowadzona przez firmę bezpieczeństwa SlowMist ostrzega, że łączna ekspozycja może być znacznie większa — nawet przekroczyć 20 mln dolarów i obejmować do 129 mln ADA oraz inne tokeny, ponieważ część zagrożonych adresów mogła jeszcze nie zostać opróżniona. SecondFi podało jednocześnie, że udało się zabezpieczyć około 129 mln ADA i przenosi te aktywa do niezależnego depozytariusza w imieniu poszkodowanych.

Firma wyjaśnia, że przyczyną był błąd w autorskim module odpowiedzialnym za tworzenie nowych portfeli i przypisywanie kluczy prywatnych. Problem dotyczył warstwy aplikacji jednego dostawcy; sama sieć Cardano pozostawała w tym czasie funkcjonalna i nie została zaatakowana.

SecondFi ostrzegło, że odtworzenie frazy odzyskiwania w innym kliencie nie gwarantuje bezpieczeństwa. Zagrożenie ujawnia się na poziomie adresu i pojawia się przy podpisywaniu transakcji, dlatego migracja frazy do innego portfela nie musi uniemożliwić nieautoryzowanych wypłat.

W ślad za atakiem pojawiła się fala oszustw. Osoby podszywające się pod pomoc techniczną SecondFi rozsyłają rzekome narzędzia do odzyskiwania funduszy i próbują wyłudzić dane od ofiar.

W odpowiedzi Charles Hoskinson zwrócił uwagę, że SecondFi nie jest produktem Input Output Global i nie łączy go z IOG ani relacja własnościowa, ani kontrola; w nagraniu skomentował: „IOG to nie Emurgo”. Dodał, że zespół reagowania na incydenty po stronie IOG pozostaje w kontakcie z SecondFi, ale IOG nie może wypowiadać się w imieniu Emurgo — podmiotu, który stworzył pierwotny portfel Yoroi i który w kwietniu 2026 roku zmienił jego nazwę na SecondFi.

W dniu zgłoszenia incydentu ADA była notowana w okolicach 0,15 dolara; lokalne minimum w pierwszej dekadzie czerwca wyniosło około 0,1485 dolara. Atak zbiegł się w czasie z innymi wydarzeniami w ekosystemie Cardano, w tym uruchomieniem testnetu Leios i dyskusjami o wydatkowaniu skarbca sieci.

SecondFi wraz z partnerami ds. bezpieczeństwa kontynuuje analizę incydentu i wdraża działania naprawcze. Firma apeluje, by użytkownicy korzystali wyłącznie z oficjalnych komunikatów i nie używali zewnętrznych narzędzi do odzyskiwania kluczy.