SecondFi, a carteira de Cardano lançada em Abril de 2026 como sucessora do Yoroi, anunciou a 22 de Julho que vai encerrar permanentemente as operações na sequência de uma falha de segurança que resultou no roubo de 16,1 milhões de ADA de 374 carteiras de utilizadores. Os ativos roubados tinham um valor aproximado de 2,4 milhões de dólares à data do incidente de Junho. A violação teve origem numa falha criptográfica numa atualização de uma aplicação Android lançada a 8 de Junho, que expôs as chaves privadas dos utilizadores através de assinaturas de transações visíveis na blockchain pública de Cardano. A EMURGO, uma das três organizações fundadoras de Cardano juntamente com a Cardano Foundation e a Input Output Global, confirmou que a SecondFi não vai retomar as operações e afirmou que o seu foco passará a ser exclusivamente a recuperação de ativos para os utilizadores afetados, embora não tenha sido disponibilizado um calendário de reembolso.
Atualização da app Android expôs chaves privadas através de geração de nonce falhada
A vulnerabilidade resultou da implementação pela SecondFi do esquema de assinatura digital estendido Ed25519 do Cardano. O protocolo padrão exige que cada assinatura de transação dependa de um nonce único gerado com base nos dados da transação e no material da chave secreta armazenado no dispositivo do utilizador, garantindo que as assinaturas não revelem a chave privada subjacente. Contudo, a aplicação Android da SecondFi gerou o nonce usando apenas informação pública da transação, excluindo o componente secreto exigido. Investigadores de cibersegurança confirmaram que este erro de implementação permitiu que qualquer pessoa a monitorizar a blockchain de Cardano calculasse diretamente as chaves privadas dos utilizadores a partir das assinaturas das transações. Investigadores independentes demonstraram a vulnerabilidade reconstruindo chaves privadas apenas com base em registos de blockchain disponibilizados publicamente. Analistas de segurança indicaram que a implementação representou uma das falhas criptográficas mais graves observadas numa carteira de criptomoeda em produção. Como a informação comprometida fica embutida em registos permanentes na blockchain, a EMURGO alertou os utilizadores de que restaurar uma frase de recuperação afetada noutra carteira de Cardano não eliminaria o risco, exigindo que os utilizadores abandonem completamente os endereços de carteira comprometidos e gerem chaves totalmente novas.
Os atacantes drenaram 16,1 milhões de ADA em quatro eventos separados
O exploit ocorreu entre 21 de Junho e 23 de Junho, através de quatro eventos separados de drenagem de carteiras. Segundo a EMURGO, três ataques foram conduzidos por agentes externos de ameaça, enquanto o quarto envolveu uma transferência de emergência iniciada pela própria empresa. Durante essa intervenção, cerca de 129 milhões de ADA foram movidos para uma carteira com custódia de terceiro antes de os atacantes conseguirem ganhar acesso. Ainda assim, não foi possível garantir 16,1 milhões de ADA a tempo. A empresa de inteligência de blockchain Groom Lake terá concluído que o atacante principal apresentou características comportamentais e técnicas compatíveis com o Lazarus Group, da Coreia do Norte, embora os investigadores não tenham atribuído oficialmente o ataque. Outro atacante não relacionado foi igualmente identificado como tendo mirado carteiras diferentes durante o mesmo período.
Vulnerabilidade da Zilliqa destaca riscos generalizados de implementação criptográfica
O anúncio da SecondFi coincidiu com a divulgação de uma fraqueza criptográfica semelhante que afeta a aplicação da carteira de hardware Ledger da Zilliqa. Os investigadores revelaram que a falha tinha permanecido não detetada desde 2019 e que também poderia permitir a reconstrução de chaves privadas após a recolha de múltiplas assinaturas de blockchain. Embora os mecanismos técnicos fossem diferentes, ambas as vulnerabilidades tiveram origem numa geração de nonce falhada durante a assinatura de transações. Especialistas em segurança disseram que os incidentes demonstraram que erros na geração de nonces continuam a ser um risco significativo e ativamente explorável em software de carteiras de blockchain. A divulgação simultânea de vulnerabilidades estruturalmente semelhantes na SecondFi e na Zilliqa sugere que falhas de implementação criptográfica podem estar mais disseminadas do que era anteriormente reconhecido no ecossistema blockchain. O encerramento da SecondFi tem implicações mais amplas, porque a EMURGO é uma das três organizações fundadoras de Cardano. A carteira substituiu a Yoroi, que serviu mais de um milhão de utilizadores ao longo de quase oito anos, antes de ser rebrandada como SecondFi no início deste ano.
A EMURGO desenvolve um portal de recuperação com provas de conhecimento zero para lançamento em Agosto
A EMURGO afirmou que está a desenvolver um portal de recuperação baseado em provas de conhecimento zero, que está atualmente a passar por auditorias de terceiros, com um lançamento previsto para Agosto. Estão também planeadas ferramentas adicionais de migração de carteiras para ajudar utilizadores não afetados a transferirem o seu ADA para carteiras alternativas. Um portal de verificação permitirá aos utilizadores determinar se os seus endereços de carteira estavam entre as 374 carteiras comprometidas. A empresa salientou que os utilizadores que recorrem a carteiras de hardware Ledger ou Trezor para a assinatura de transações não foram afetados, porque a vulnerabilidade existia apenas no software Android da SecondFi e não no firmware da carteira de hardware. A EMURGO confirmou que os seus esforços se vão concentrar exclusivamente na recuperação de ativos para os utilizadores afetados através de uma equipa dedicada, embora não tenha sido anunciado um calendário de reembolso.
FAQ
O que causou a falha de segurança da SecondFi em Junho?
A violação resultou de uma falha criptográfica na atualização da aplicação Android da SecondFi lançada a 8 de Junho. A app gerou nonces de assinatura de transação usando apenas informação pública da transação, excluindo o material necessário da chave secreta, permitindo que os atacantes reconstruíssem diretamente as chaves privadas dos utilizadores a partir de dados públicos da blockchain.
Quanto de criptomoeda foi roubado das carteiras da SecondFi?
Foram roubados 16,1 milhões de ADA de 374 carteiras de utilizadores entre 21 de Junho e 23 de Junho. Os ativos roubados tinham um valor aproximado de 2,4 milhões de dólares no momento do incidente e aproximadamente 2,8 milhões de dólares com base nos preços do ADA a 22 de Julho.
Quando é que a EMURGO vai lançar o portal de recuperação para os utilizadores afetados da SecondFi?
A EMURGO afirmou que o portal de recuperação baseado em provas de conhecimento zero está atualmente a passar por auditorias de terceiros, com um lançamento previsto para Agosto. A empresa não anunciou um calendário específico de reembolso para os utilizadores afetados.
