Взлом SecondFi в экосистеме Cardano: реальный ущерб может превысить $20 млн
Проект SecondFi, ключевой игрок в инфраструктуре Cardano, столкнулся с серьезным инцидентом безопасности. Первоначальная оценка команды указывает на потерю около 16 млн ADA (примерно $2,4 млн), однако независимый анализ, проведенный экспертами по блокчейн-безопасности, показывает, что реальный ущерб может быть значительно масштабнее — до $20 млн и выше.
Природа уязвимости
Корень проблемы кроется в собственном программном обеспечении SecondFi для генерации кошельков. Расследование выявило критический брешь: используемый алгоритм создавал приватные ключи с предсказуемой случайностью. Это означает, что злоумышленник, проанализировав механизм генерации, мог вычислить ключи к любому кошельку, созданному через данное ПО. Предварительно, под угрозой оказались около 178 кошельков.
Расхождение в оценках: $2,4 млн или $20 млн?
Команда SecondFi пока оценивает убытки в 16 млн ADA, однако эксперты из SlowMist, проанализировав движение средств, пришли к другим выводам. По их данным, с инцидентом могут быть связаны потери до 129 млн ADA и других токенов. Разрыв в оценках почти в восемь раз заставляет предполагать, что часть скомпрометированных кошельков еще не опустошена, но остается уязвимой. Фактически, мы наблюдаем ситуацию, когда «бомба замедленного действия» все еще активна.
Последствия для экосистемы
SecondFi — это ребрендированный продукт Yoroi, одного из самых популярных «легких» кошельков Cardano, разработанного компанией EMURGO. С более чем миллионом пользователей, этот инцидент наносит репутационный удар, который ощущается гораздо сильнее, чем взлом анонимного DeFi-проекта. Это прямое попадание по доверию к инфраструктуре самого блокчейна.
В настоящее время SecondFi приостановил работу и перешел в режим обслуживания. Команда сделала снимок балансов и призывает всех пользователей, создававших кошелек через их ПО, немедленно перевести активы в другие сервисы. Точная сумма потерь будет раскрыта после завершения технического аудита.
Мнение эксперта
Этот случай — суровое напоминание о том, что даже уважаемые и давно работающие проекты не застрахованы от фатальных ошибок в базовом коде. Инцидент с SecondFi подрывает доверие к целому классу «легких» кошельков и подчеркивает критическую важность использования аппаратных решений и холодного хранения для значительных сумм. Рынок будет внимательно следить за тем, как EMURGO будет восстанавливать репутацию своего продукта.