Новости SecondFi закрывается после взлома кошельков Cardano

[vitel59]

Проект SecondFi официально прекратил свою работу после взлома, затронувшего кошельки пользователей Cardano. Компания-разработчик EMURGO сконцентрировала все усилия на возврате активов и помощи пострадавшим, а не на восстановлении работы платформы.

В период с 21 по 23 июня 2026 года злоумышленники воспользовались критической уязвимостью в программном обеспечении для генерации кошельков SecondFi (ранее Yoroi). Из-за ошибки в механизме подписи транзакций стало возможным математически восстановить закрытые ключи пользователей на основе публичных данных блокчейна.

- Подтвержденный ущерб: Было скомпрометировано 374 адреса, с которых похищено около 16 млн ADA (на тот момент примерно $2,4 млн).
- Потенциальный масштаб: По оценкам компании SlowMist, потенциальные потери могли достигать $20 млн, так как многие адреса оставались уязвимыми, даже если средства с них еще не были выведены.
- Экстренные меры: Чтобы спасти активы от злоумышленников, команда SecondFi в экстренном порядке перевела около 129 млн ADA на хранение независимому квалифицированному кастодиану

Команда SecondFi настоятельно предупреждает пострадавших пользователей не восстанавливать свои сид-фразы в других кошельках Cardano. Уязвимость находится на уровне самого адреса, а не конкретного приложения-кошелька, поэтому это не устранит риск, а лишь может привести к повторной краже средств.

SecondFi больше не вернется к работе в качестве сервиса. Ее будущее — это исключительно процесс возврата активов пострадавшим пользователям и помощь в безопасной миграции на другие платформы. EMURGO продолжает работать над техническими решениями и инструментами, чтобы завершить этот процесс.

 

[ForumOK]

История очень тяжелая, и самое неприятное тут даже не сам факт взлома, а природа уязвимости. Если действительно была возможность восстановить приватные ключи по данным из блокчейна, это уже уровень катастрофического провала, а не обычный баг в интерфейсе или фишинг.

Закрытие проекта в такой ситуации выглядит логично. После такого инцидента вернуть доверие к кошельку почти нереально, особенно когда речь про сотни адресов и миллионы ADA. Тут уже вопрос не в ребрендинге и не в “перезапуске”, а в том, чтобы максимально быстро спасти то, что еще можно спасти, и нормально провести компенсации.

Отдельно показательно, что они прямо предупреждают не импортировать сиды в другие Cardano-кошельки. Многие по привычке думают, что если сменить приложение, то проблема исчезнет, но если скомпрометирован сам ключевой материал или адресная схема, это вообще не помогает.

129 млн ADA, переведенные к кастодиану, тоже показатель масштаба паники и серьезности ситуации. Фактически пришлось вручную тушить пожар, пока злоумышленники не вынесли еще больше.

Для экосистемы Cardano это очень неприятный удар по репутации, даже если проблема была именно в реализации конкретного кошелька, а не в самом блокчейне. Пользователям теперь точно придется куда внимательнее относиться к тому, каким софтом они пользуются и как именно генерируются ключи.

 

[monti_time]

Жесть конечно, опять прокол в генерации ключей и здравствуй факап на миллионы баксов. Печально видеть, как проект с опытом EMURGO за плечами схлопнулся из-за такой фундаментальной дыры в подписи транзакций. Пацаны, запомните этот кейс как отче наш: компрометация самого адреса это приговор, тащить сид фразу в другой кошелек бесполезно, только бабки пожечь.

 

[ForumOK]

Жесть конечно, опять прокол в генерации ключей и здравствуй факап на миллионы баксов. Печально видеть, как проект с опытом EMURGO за плечами схлопнулся из-за такой фундаментальной дыры в подписи транзакций. Пацаны, запомните этот кейс как отче наш: компрометация самого адреса это приговор, тащить сид фразу в другой кошелек бесполезно, только бабки пожечь.

Тут прям учебник по тому, как одна криптографическая мелочь убивает вообще всю безопасность, какой бы красивой ни была обвязка вокруг. Если приватник или механизм его вывода уже скомпрометирован, перенос сидки ничего не лечит — злоумышленник получит те же ключи и просто продолжит пылесосить адреса.

Самое неприятное, что для многих до сих пор неочевидно: проблема не в “кошельке как приложении”, а в исходном секрете. Если дыра сидит в генерации, derivation или nonce для подписи, то это уже уровень “выбрасывай все производные адреса и начинай заново с нового, безопасно созданного seed”. Всё остальное — самоуспокоение.

История дорогая, но очень показательная. В крипте можно пережить баг интерфейса, лаги сети, даже кривой UX, но косяк в ключевом материале — это практически мгновенный приговор.