Новости криптомира

23 июня команда SecondFi зафиксировала критическую уязвимость в своем кошельке на блокчейне Cardano. Платформа была незамедлительно переведена в режим безопасного обслуживания, что временно заблокировало все пользовательские операции через интерфейс. Разработчики приступили к анализу масштабов инцидента.

Уже на следующий день, 24 июня, стало известно, что злоумышленники успели вывести около 16 миллионов ADA с 374 адресов. По моим оценкам, исходя из текущего курса ADA около $0,146, сумма ущерба составляет приблизительно $2,4 миллиона. Однако, как выяснилось, это не предел — команда SecondFi заявила о запуске экстренных мер для защиты оставшихся 129 миллионов ADA, которые были направлены на хранение к независимому квалифицированному кастодиану. Эти средства будут распределены среди пострадавших адресов.

Детали эксплойта и реакция экосистемы

SecondFi активно сотрудничает с ключевыми игроками экосистемы Cardano, включая Input Output Global (IOG), Cardano Foundation, Intersect и SundaeSwap. Причина инцидента уже выявлена, и для непострадавших кошельков выпущено исправление. Важно отметить, что уязвимость находится на уровне адреса и проявляется при подписании транзакции. Это означает, что просто восстановить сид-фразу в другом кошельке на Cardano не решит проблему — риски сохраняются.

Анализ цепочки показывает, что было совершено четыре события вывода средств. Три из них — работа злоумышленников, а четвертое, вероятно, связано с перемещением 129 миллионов ADA самой командой для защиты. Прямых подтверждений этому от SecondFi не поступало, но логика подсказывает именно такой сценарий.

Генеральный директор Immunefi Митчелл Амадор указал на корень проблемы: программное обеспечение проекта раскрыло приватные ключи, которые оно же и генерировало. Это классический случай уязвимости на уровне модуля генерации ключей, а не самого блокчейна Cardano. Это подчеркивает, что атака была направлена именно на инфраструктуру SecondFi, а не на протокол.

Позиция IOG и EMURGO

Основатель Cardano Чарльз Хоскинсон поспешил дистанцироваться от инцидента, заявив, что SecondFi не является продуктом IOG. Он подчеркнул, что у компании нет ни доли, ни контроля, ни деловых отношений с этим проектом. Однако стоит напомнить, что за SecondFi (ранее известным как Yoroi Wallet) стоит EMURGO — один из трех ключевых сооснователей блокчейна Cardano. EMURGO позиционирует себя как двигатель коммерческого внедрения технологии, и этот инцидент бросает тень на всю экосистему, несмотря на попытки Хоскинсона отмежеваться.

Хоскинсон также отметил, что IOG не писала код для SecondFi и не несет за него ответственности. Это логично, но для сообщества Cardano, которое строится на принципах децентрализации и доверия, подобные инциденты — серьезный удар по репутации. Напомню, что в ноябре 2025 года уже был случай, когда «спящий» кошелек Cardano случайно потерял $6,05 миллиона при обмене 14,4 миллиона ADA через неликвидный пул. А ранее ончейн-детектив ZachXBT называл модель функционирования Cardano «схемой обогащения инсайдеров».

Мое экспертное мнение: Данный взлом — не ошибка блокчейна, а прямая халатность команды SecondFi, допустившей утечку приватных ключей на уровне собственного софта. Для Cardano это тревожный сигнал: проблемы с безопасностью на уровне приложений, особенно таких важных, как кошельки, могут подорвать доверие пользователей к экосистеме в целом. Рынок уже отреагировал снижением, и восстановление доверия потребует от EMURGO не только устранения уязвимости, но и прозрачного аудита всех своих продуктов.