Взлом SecondFi на Cardano: реальный ущерб может превысить $20 млн
Экосистема Cardano столкнулась с серьезным инцидентом безопасности: проект SecondFi, ранее известный как кошелек Yoroi, сообщил о взломе, вызванном уязвимостью в собственном программном обеспечении для генерации кошельков. По предварительным данным команды, ущерб оценивается примерно в 16 млн ADA (около $2,4 млн), однако независимый анализ указывает на то, что реальные потери могут быть значительно выше — более $20 млн.
Инцидент затронул один из самых популярных «легких» кошельков в экосистеме Cardano, которым пользовались более миллиона держателей ADA. Уязвимость заключалась в том, что программное обеспечение генерировало приватные ключи с предсказуемой случайностью, что сделало все созданные через него кошельки потенциально уязвимыми. Первоначально сообщалось о 178 скомпрометированных кошельках, но реальный масштаб может быть гораздо шире.
Расхождение в оценках: $2,4 млн или $20 млн?
Основатель компании по безопасности SlowMist, Юй Сянь, провел собственный анализ движения средств злоумышленника и активности кошельков. Его выводы кардинально отличаются от данных SecondFi. По его оценке, реальные потери пользователей теоретически способны превысить $20 млн. Более того, он отследил два предполагаемых адреса злоумышленника и считает, что с инцидентом могут быть связаны потери до 129 млн ADA и других токенов — это многократно превышает первоначальные расчеты самого проекта.
Разрыв примерно в восемь раз между оценками команды и независимых экспертов остается значительным. Это может означать, что часть скомпрометированных кошельков еще не опустошена, но остается уязвимой. Ситуация осложняется тем, что SecondFi — это переименованный продукт Yoroi, разработанный компанией EMURGO, одной из трех компаний-основателей Cardano. Ребрендинг произошел в начале июня 2026 года, поэтому репутационный удар от атаки ощущается сильнее, чем при инцидентах с анонимными проектами.
Что делать пользователям?
Проект приостановил работу, перешел в режим обслуживания и сделал снимок балансов пользователей. Команда призвала всех, кто создавал кошелек через ее ПО, немедленно перевести активы в кошельки других сервисов. Расследование продолжается, а точную сумму потерь обещают раскрыть после завершения технического аудита с привлечением сторонней компании по блокчейн-безопасности.
Мой анализ: Этот инцидент — очередное напоминание о том, что даже проверенные временем продукты с многомиллионной аудиторией не застрахованы от критических уязвимостей. Разрыв в оценках ущерба вызывает тревогу: если данные SlowMist верны, то мы имеем дело с одним из крупнейших взломов в экосистеме Cardano. Пользователям стоит немедленно действовать, не дожидаясь официальных результатов аудита.