A SecondFi, uma plataforma de wallet auto-custodiada construída sobre a Cardano, afirma ter identificado a causa raiz de um exploit que levou a um grande roubo e agora está coordenando com parceiros do ecossistema Cardano e investigadores independentes para conter riscos futuros.
Na sua última atualização, a empresa disse que ativou controles de emergência que ajudaram a garantir cerca de 129 milhões de ADA, movendo os fundos para um custodiante independente de terceiros. A SecondFi acrescentou que os ADA serão mantidos para os usuários afetados enquanto a verificação é concluída. Anteriormente, estimou que cerca de 16 milhões de ADA (aproximadamente $2,4 milhões) haviam sido drenados através de 374 endereços.
Principais conclusões
A SecondFi atribui o incidente a uma vulnerabilidade no software de geração de carteira web Cardano, descrevendo um problema "a nível de endereço" que impacta os usuários ao assinar transações.
Enquanto a SecondFi afirma que medidas de emergência garantiram cerca de 129 milhões de ADA, alerta que restaurar frases de recuperação em outros lugares pode não eliminar o risco de exposição subjacente.
O fundador da Cardano, Charles Hoskinson, disse que a SecondFi não é um produto da Input Output Global (IOG) e enfatizou que não há relação de propriedade ou controle entre a IOG e a carteira.
A SecondFi ainda não publicou um relatório completo sobre o incidente, mas está trabalhando com investigadores e plataformas do ecossistema para abordar a exploração e guiar a remediação.
Contenção de emergência e a escala de fundos afetados
A SecondFi disse que a violação foi descoberta depois que atacantes conseguiram acessar os fundos dos usuários. Na quarta-feira, a plataforma confirmou que havia localizado a causa raiz do problema e entrou em modo de resposta com partes interessadas do ecossistema e investigadores de blockchain.
Como parte de seu esforço de contenção, a SecondFi relatou ter acionado medidas de emergência que garantiram aproximadamente 129 milhões de ADA. A empresa disse que transferiu esses ativos para um custodiante de terceiros independente e os manterá para os usuários afetados pela exploração enquanto as identidades e reivindicações são verificadas.
Na terça-feira, a SecondFi estimou o impacto imediato em 16 milhões de ADA (cerca de $2,4 milhões) em 374 endereços. A diferença entre o número "estimado afetado" anterior e o valor "garantido" posterior sugere que as ações de remediação e contenção ocorreram rápido o suficiente para evitar movimentos adicionais além dos drenos iniciais—embora a SecondFi não tenha fornecido uma divisão completa de como os totais se relacionam.
O que a SecondFi diz que deu errado: uma falha na geração de chaves
A SecondFi não lançou um post-mortem abrangente, mas emitiu declarações delineando como o incidente ocorreu. De acordo com a plataforma, a vulnerabilidade remonta a um problema a nível de endereço dentro de seu software de geração de carteira web Cardano—especificamente uma falha que afeta os usuários durante a assinatura de transações.
O CEO da Immunefi, Mitchell Amador, disse à Cointelegraph que o software de carteira da SecondFi "expos a chave privada que gerou". Na sua visão, a blockchain em si permaneceu segura; em vez disso, o componente arriscado foi o código responsável por gerar ou lidar com as chaves criptográficas—uma área que ele diz ser frequentemente menos analisada do que o protocolo da blockchain.
Essa distinção importa para os usuários. Ao contrário das falhas no consenso on-chain ou bugs em nível de rede, as fraquezas na geração de chaves podem ser exploradas off-chain de maneiras que podem não ser prevenidas simplesmente mudando a interface depois do fato. Uma vez que material privado é comprometido, atacantes podem reutilizá-lo para assinar transações, mesmo que a cadeia subjacente continue a operar corretamente.
Orientação para os usuários: não assuma que uma frase de recuperação é "segura"
A orientação de remediação da SecondFi enfatizou que simplesmente mudar para outra carteira pode não ser suficiente. A empresa disse que "a recuperação para outra plataforma ou carteira não mitiga o risco", aconselhando os usuários a não restaurar frases de recuperação em novas carteiras Cardano.
A recomendação divergiu do que alguns membros da comunidade pediram. No X, por exemplo, pelo menos uma figura proeminente da comunidade incentivou os usuários a migrar carteiras afetadas e mover fundos para endereços recém-criados. A posição diferente da SecondFi indica uma preocupação de que a exposição possa persistir além da interface original—potencialmente porque a frase de recuperação em si ou o processo de geração de chave permanece inseguro quando reutilizado.
Para os usuários afetados, essa é uma diferença operacional crítica. Se a frase de recuperação estiver comprometida ou se o software da carteira gerar repetidamente chaves usando lógica vulnerável, restaurar frases em outros lugares pode recriar a mesma fraqueza. Os usuários provavelmente precisarão seguir a orientação mais conservadora até que a SecondFi e os parceiros de segurança publiquem uma explicação mais clara do que exatamente foi vazado e quão longe a exposição se estende.
Hoskinson responde: a IOG não tem propriedade ou controle sobre a SecondFi
O fundador da Cardano, Charles Hoskinson, se manifestou sobre a questão mais ampla da responsabilidade. Em uma postagem no X, Hoskinson disse que a SecondFi não é um produto da Input Output Global e enfatizou que não há relação de propriedade, controle ou comercial entre a carteira e a IOG.
Hoskinson também disse que a equipe de resposta a incidentes da IOG está em contato com a SecondFi desde segunda-feira, e que a SecondFi solicitou uma auditoria de segurança independente. Em um vídeo de terça-feira, ele esclareceu ainda mais que a IOG "não é a Emurgo" e não pode falar em nome da Emurgo sobre a exploração.
A SecondFi foi associada anteriormente a uma transição da carteira Yoroi. A plataforma é descrita como tendo rebrandado de Yoroi em abril de 2026. Yoroi, de acordo com a cobertura do Cardano.org, foi originalmente desenvolvido pela Emurgo, que se posiciona como o braço com fins lucrativos da Cardano e posicionou o Yoroi como uma carteira leve de código aberto para usuários de ADA.
Juntas, os comentários de Hoskinson sublinham uma ambiguidade comum na cobertura cripto após incidentes de carteira: usuários e observadores frequentemente assumem que qualquer carteira construída "na Cardano" herda supervisão do ecossistema mais amplo. A situação da SecondFi—e a clara clarificação de Hoskinson—sugere que os limites de governança permanecem importantes mesmo quando produtos operam na mesma rede.
Olhando para o futuro, o grande desconhecido é se a SecondFi publicará um post-mortem detalhado explicando quais partes do pipeline de geração de chaves falharam e quais etapas de remediação eliminam totalmente o risco. Usuários acompanhando essa história devem prestar muita atenção aos resultados da auditoria independente e a quaisquer atualizações da SecondFi ou parceiros de segurança da Cardano sobre como mover as holdings com segurança sem reintroduzir a mesma fraqueza.
Este artigo foi publicado originalmente como SecondFi Pinpoints Cardano Wallet Exploit to Root Address Flaw no Crypto Breaking News – sua fonte confiável para notícias de cripto, notícias de Bitcoin e atualizações de blockchain.