SecondFi, a carteira do Cardano lançada em abril de 2026 como sucessora do Yoroi na plataforma da EMURGO, anunciou em 22 de julho que encerrará permanentemente suas operações após uma violação de segurança que resultou no roubo de 16,1 milhões de ADA de 374 carteiras de usuários. Os ativos roubados valiam aproximadamente US$ 2,4 milhões na época do incidente em junho. A invasão teve origem em uma falha criptográfica em uma atualização de aplicativo Android lançada em 8 de junho, que expôs as chaves privadas dos usuários por meio de assinaturas de transações visíveis na blockchain pública do Cardano. A EMURGO, uma das três organizações fundadoras do Cardano junto com a Cardano Foundation e a Input Output Global, confirmou que o SecondFi não retomará as operações e afirmou que seu foco mudará exclusivamente para a recuperação de ativos dos usuários afetados, embora nenhum prazo de reembolso tenha sido fornecido.
Atualização do App Android expôs chaves privadas por meio de geração de nonce falha
A vulnerabilidade surgiu da implementação do SecondFi do esquema de assinatura digital estendida do Ed25519 do Cardano. O protocolo padrão exige que cada assinatura de transação dependa de um nonce exclusivo gerado usando tanto os dados da transação quanto o material de chave secreta armazenado no dispositivo do usuário, garantindo que as assinaturas não revelem a chave privada subjacente. No entanto, o aplicativo Android do SecondFi gerou o nonce usando apenas informações públicas da transação, excluindo o componente secreto necessário. Pesquisadores de cibersegurança confirmaram que esse erro de implementação permitiu que qualquer pessoa monitorando a blockchain do Cardano calculasse diretamente as chaves privadas dos usuários a partir das assinaturas das transações. Pesquisadores independentes demonstraram a vulnerabilidade reconstruindo chaves privadas apenas a partir de registros públicos da blockchain. Analistas de segurança indicaram que a implementação representou uma das falhas criptográficas mais graves vistas em uma carteira de criptomoeda em produção. Como a informação comprometida está embutida em registros permanentes da blockchain, a EMURGO alertou que restaurar uma frase de recuperação afetada em outra carteira do Cardano não eliminará o risco, exigindo que os usuários abandonem completamente os endereços de carteira comprometidos e gerem chaves totalmente novas.
Atacantes drenaram 16,1 milhões de ADA em quatro eventos separados
O exploit ocorreu entre 21 de junho e 23 de junho por meio de quatro eventos separados de esvaziamento de carteiras. Segundo a EMURGO, três ataques foram realizados por agentes externos de ameaça, enquanto o quarto envolveu uma transferência emergencial iniciada pela própria empresa. Durante essa intervenção, aproximadamente 129 milhões de ADA foram movidos para uma carteira com custódia de terceiro antes que os atacantes conseguissem acesso. Ainda assim, 16,1 milhões de ADA não puderam ser assegurados a tempo. A empresa de inteligência de blockchain Groom Lake teria concluído que o atacante principal exibiu características comportamentais e técnicas consistentes com o Grupo Lazarus da Coreia do Norte, embora os investigadores não tenham atribuído oficialmente o ataque. Outro atacante não relacionado também foi encontrado visando carteiras diferentes no mesmo período.
Vulnerabilidade do Zilliqa destaca riscos amplos de implementação criptográfica
O anúncio do SecondFi coincidiu com a divulgação de uma fraqueza criptográfica semelhante que afeta o aplicativo da carteira de hardware Ledger do Zilliqa. Pesquisadores revelaram que a falha permaneceu não detectada desde 2019 e também poderia permitir a reconstrução de chaves privadas após a coleta de múltiplas assinaturas de blockchain. Embora os mecanismos técnicos fossem diferentes, as duas vulnerabilidades tiveram origem em geração de nonce falha durante a assinatura de transações. Especialistas em segurança disseram que os incidentes demonstraram que erros na geração de nonce permanecem um risco significativo e ativamente explorável em softwares de carteiras de blockchain. A divulgação simultânea de vulnerabilidades estruturalmente semelhantes no SecondFi e no Zilliqa sugere que falhas de implementação criptográfica podem estar mais disseminadas do que se reconhecia anteriormente no ecossistema de blockchain. O encerramento do SecondFi traz implicações mais amplas porque a EMURGO é uma das três organizações fundadoras do Cardano. A carteira substituiu a Yoroi, que atendia mais de um milhão de usuários ao longo de quase oito anos antes de ser rebatizada como SecondFi no início deste ano.
EMURGO desenvolve portal de recuperação com zero conhecimento para lançamento em agosto
A EMURGO afirmou que está desenvolvendo um portal de recuperação baseado em prova de zero conhecimento, que atualmente passa por auditorias de terceiro, com lançamento esperado em agosto. Também estão planejadas ferramentas adicionais de migração de carteira para ajudar usuários não afetados a transferir seu ADA para carteiras alternativas. Um portal de verificação permitirá que os usuários determinem se os endereços da carteira deles estavam entre os 374 comprometidos. A empresa enfatizou que usuários que dependiam de carteiras de hardware Ledger ou Trezor para assinar transações não foram afetados porque a vulnerabilidade existia apenas no software Android do SecondFi, e não no firmware da carteira de hardware. A EMURGO confirmou que seus esforços se concentrarão exclusivamente na recuperação de ativos para usuários afetados por meio de uma equipe dedicada de recuperação, embora nenhum prazo de reembolso tenha sido anunciado.
FAQ
O que causou a violação de segurança do SecondFi em junho?
A violação ocorreu devido a uma falha criptográfica na atualização do aplicativo Android do SecondFi lançada em 8 de junho. O app gerou nonces de assinatura de transação usando apenas informações públicas da transação, excluindo o material necessário de chave secreta, permitindo que atacantes reconstruíssem as chaves privadas dos usuários diretamente a partir de dados de blockchain publicamente visíveis.
Quanto de criptomoeda foi roubado das carteiras do SecondFi?
16,1 milhões de ADA foram roubados de 374 carteiras de usuários entre 21 de junho e 23 de junho. Os ativos roubados valiam aproximadamente US$ 2,4 milhões na época do incidente e aproximadamente US$ 2,8 milhões com base nos preços de ADA em 22 de julho.
Quando a EMURGO vai liberar o portal de recuperação para usuários afetados do SecondFi?
A EMURGO afirmou que o portal de recuperação baseado em prova de zero conhecimento está atualmente passando por auditorias de terceiro, com lançamento esperado em agosto. A empresa não anunciou um prazo específico de reembolso para usuários afetados.
