Эксплойт безопасности, связанный с кредитным проектом на базе Cardano, встряхнул экосистему ADA в один из самых уязвимых моментов. Эксплойт SecondFi Cardano, связанный с ошибкой в программном обеспечении генерации кошельков проекта, вывел от 16 миллионов до более чем 129 миллионов ADA из пользовательских кошельков — общие потери оцениваются более чем в 20 миллионов долларов по данным ведущего эксперта по безопасности блокчейнов.
Основные выводы
Программное обеспечение генерации кошельков SecondFi имело уязвимость, которая предоставила злоумышленникам доступ к множеству пользовательских кошельков — основной протокол Cardano не был затронут.
Оценочные потери варьируются от 16 миллионов ADA до более чем 129 миллионов ADA, плюс дополнительные токены; общий ущерб оценен выше $20 млн основателем SlowMist Юй Сяном.
После новости ADA упала на 3% и в настоящее время торгуется примерно на минимальных значениях за пять лет на уровне $0.150237.
Основатель Cardano Чарльз Хоскинсон признал взлом, предупредив, что некоторые пользователи могли потерять все свои запасы ADA.
SecondFi не объявляла никакого плана компенсации или восстановления и проходит технический аудит с независимой фирмой по кибербезопасности блокчейна.
SecondFi перенесла крупный взлом безопасности
Инцидент обнаружился 24 июня — всего через день после того, как Cardano запустила тестнет Leios Musashi Dojo; такое timing трудно представить более неудачным для экосистемы, которая и так испытывает сложности с привлечением разработчиков и набором импульса.
Недостаток в проприетарном ПО для генерации кошельков
Нарушение не было вызвано самим блокчейном Cardano. Вместо этого команда SecondFi проследила атаку напрямую до уязвимости в проприетарном ПО для генерации кошельков проекта. Этот недостаток позволил злоумышленникам получить несанкционированный доступ к средствам, хранящимся сразу в нескольких кошельках пользователей.
Различие важно. Базовый протокол Cardano не был скомпрометирован. Это был сбой на уровне приложения — напоминание о том, что даже когда исходный код блокчейна остается устойчивым, проекты, построенные поверх него, могут привносить критические собственные слабости.
Затем SecondFi провела анализ on-chain, чтобы определить, какие адреса кошельков были затронуты, и оценить полный масштаб ущерба.
Масштаб и охват эксплойта
Цифры рассказывают широкую и тревожную историю. Оценки ущерба варьируются от 16 миллионов ADA на нижней границе до более чем 129 миллионов ADA на верхней, при этом скомпрометированные кошельки также содержали дополнительные токены, не относящиеся к ADA, полная стоимость которых не была раскрыта.
При текущей цене ADA $0.150237 верхняя оценка SlowMist в 129 миллионов ADA сама по себе соответствует примерно $19.4 млн. Юй Сян, основатель фирмы по кибербезопасности SlowMist и известный в сообществе под ником Cos, оценил суммарные потери выше $20 млн после учета дополнительных активов в виде токенов.
Большой разрыв между низкими и высокими оценками отражает реальную неопределенность. Анализ on-chain может сузить этот диапазон, но пока технический аудит не будет завершен, полная степень ущерба остается открытым вопросом.
Влияние на экосистему Cardano и рынок ADA
Эксплойт затронул токен, который уже испытывал значительное давление. Перед тем как появилась новость о SecondFi, ADA торговалась почти на минимальных значениях за пять лет, а взлом добавил свежий вес к и без того сложной картине.
Падение цены на фоне новостей об эксплойте
ADA упала на 3% в течение 24 часов после раскрытия информации об эксплойте, опустившись до $0.150237. Это может показаться умеренным на фоне, но для токена, находящегося вблизи многолетних минимумов, дальнейшее нисходящее давление несет реальный психологический вес для держателей, которые наблюдали, как актив теряет позиции на протяжении длительного периода.
Чарльз Хоскинсон еще до этого инцидента предлагал план спасения Cardano — шаг, который вызвал широкое недоверие среди держателей ADA. Теперь эксплойт добавляет дополнительный вызов доверия в экосистему, которая уже работала над восстановлением уверенности.
Целостность протокола Cardano и опасения разработчиков
Стоит еще раз подчеркнуть, что базовый блокчейн-протокол Cardano не был вектором атаки. Уязвимость полностью находилась в собственной инфраструктуре SecondFi. Это различие важно для оценки состояния экосистемы в долгосрочной перспективе, но на практике оно может дать ограниченное утешение в краткосрочном периоде.
Эксплойт всплыл на следующий день после запуска тестнета Leios Musashi Dojo — события, которое на старте вызвало определенный оптимизм относительно технической дорожной карты Cardano. Ранние данные on-chain уже показывали лишь ограниченные признаки существенного роста активности. Крупная инцидентность по безопасности, связанная с проектом в экосистеме, независимо от того, где именно технически лежит вина, может осложнить попытки привлечь новых разработчиков и ликвидность в сеть в уязвимый момент.
Ответные меры и дальнейшие шаги
Ответ SecondFi на данный момент сосредоточен на локализации и расследовании, а не на обязательствах по восстановлению.
Технический аудит с независимой фирмой по кибербезопасности
Сейчас проект сотрудничает с независимой фирмой по кибербезопасности блокчейна, чтобы провести полный технический аудит. У этого аудита две основные цели: выяснить, можно ли вернуть хотя бы часть утраченных средств, и определить, какие структурные изменения необходимо внести в инфраструктуру кошельков SecondFi, прежде чем операции смогут безопасно возобновиться.
Ни для одного из исходов не был предоставлен срок. SecondFi не объявляла план компенсации или любую форму возмещения для пострадавших пользователей. До завершения аудита практический путь вперед для пользователей, которые лишились средств, остается неясным.
Заявления Чарльза Хоскинсона и обновления о восстановлении
Основатель Cardano Чарльз Хоскинсон публично признал инцидент, озвучив его с заметной прямотой. Хотя он отметил, что долларовые потери могут выглядеть относительно скромными по сравнению с некоторыми из крупнейших зафиксированных крипто-эксплойтов, он был прямолинеен и в вопросе человеческого воздействия: некоторые пользователи могли потерять все свои запасы ADA. Хоскинсон назвал этот исход неприятной реальностью отрасли.
Это признание многое значит. Оно показывает осведомленность на самом высоком уровне в организации Cardano, но при этом не содержит обещаний о системной помощи. Сейчас бремя восстановления — как минимум пока — лежит на продолжающемся процессе аудита SecondFi.
То, что в итоге покажет техническое расследование, окажет влияние куда большее, чем на будущее SecondFi. Если аудит выявит, что такого рода недостатки в инфраструктуре кошельков более распространены среди проектов на базе Cardano, последствия для доверия в экосистеме могут выйти далеко за рамки одного эксплойта. Для держателей ADA и разработчиков, оценивающих свое участие в сети, этот ответ может оказаться важнее любой отдельно взятой свечи цены.
Вопросы и ответы
Что стало причиной эксплойта SecondFi?
Недостаток в проприетарном ПО SecondFi для генерации кошельков позволил злоумышленникам получить доступ к нескольким кошелькам пользователей. Базовый блокчейн-протокол Cardano не был вовлечен в этот взлом.
Сколько ADA, как сообщается, было утрачено в результате эксплойта?
Оценки потерь варьируются от 16 миллионов ADA до более чем 129 миллионов ADA, плюс дополнительные токены, не относящиеся к ADA. Основатель SlowMist Юй Сян оценил суммарный ущерб более чем в $20 млн, когда были учтены все затронутые активы.
Затронул ли эксплойт основной блокчейн-протокол Cardano?
Нет. Базовый протокол Cardano не был скомпрометирован. Взлом был ограничен собственным кошельковым ПО SecondFi, что делает это сбоем на уровне приложения, а не уязвимостью на уровне сети.
Какие действия SecondFi предпринимает после взлома?
SecondFi работает с независимой фирмой по кибербезопасности блокчейна над техническим аудитом, чтобы оценить, можно ли вернуть какие-либо средства, и определить, какие изменения в инфраструктуре кошельков требуются до возобновления операций. О плане компенсации или возмещения объявлено не было.
Статья подготовлена с помощью искусственного интеллекта и проверена редакционной командой.