Взлом SecondFi: украли 16 млн ADA

Команда SecondFi обнаружила 23 июня несанкционированный вывод средств и перевела платформу в режим безопасного обслуживания. Пользователи временно не могли проводить операции через интерфейс, пока шла проверка масштабов инцидента.

SecondFi уточнила 24 июня, что с 374 адресов было выведено примерно 16 млн ADA — по курсу на момент инцидента это оценивалось примерно в $2,4 млн. Чтобы предотвратить дальнейшие потери, разработчики направили доступные средства к независимому квалифицированному стороннему кастодиану; под защитой сейчас находятся около 129 млн ADA, команда отмечает, что они хранятся в интересах затронутых адресов.

В документации проекта указано, что с момента обнаружения инцидента зафиксированы четыре события по выводу средств: три исходили от злоумышленников, ещё одно, по оценкам команды, связано с перемещением средств самой команды в рамках защитных мер.

Причина инцидента, по данным SecondFi, связана с уязвимостью в модуле кошелька, который отвечает за генерацию приватных ключей. Программное обеспечение могло раскрывать приватные ключи, что и позволило атакующим получить доступ к средствам.

Глава платформы безопасности Immunefi Митчелл Амадор указал, что проблема касалась именно генерации и хранения ключей внутри программного обеспечения кошелька, а не блокчейна Cardano.

Разработчики выпустили исправление для версий кошелька, которые не были скомпрометированы, и продолжают поиск и устранение возможных следов атак. Команда сотрудничает с ключевыми участниками экосистемы Cardano, включая Input Output Global, Cardano Foundation, Intersect и SundaeSwap, для расследования и координации действий.

Основатель Cardano Чарльз Хоскинсон дистанцировал IOG от инцидента и подчеркнул, что компания не связана с SecondFi, не контролирует её и не владеет долей в проекте. SecondFi ранее работала под именем Yoroi Wallet и поддерживается EMURGO.

В качестве предостережения SecondFi рекомендует пользователям не восстанавливать сид-фразы в других кошельках на базе Cardano до завершения проверок и выпуска исправлений для уязвимых версий. Команда просит держаться официальных объявлений проекта и воздерживаться от действий, которые могут поставить под угрозу сохранность ключей и средств.

В 2025 году в экосистеме Cardano уже фиксировались крупные инциденты с неавторизованными перемещениями ADA; эти случаи подчеркивают внимание к безопасности модулей генерации ключей и хранению приватных данных.

Расследование продолжается, SecondFi обещает публиковать обновления по мере появления новых данных и завершения анализа инцидента.