SecondFi stellt nach Diebstahl von 16,1 Millionen ADA den Betrieb ein
Der Fehler lag in der Signing-Software und nicht in Cardano selbst. SecondFi arbeitet an Recovery-Tools, während 374 Wallets und 16,1 Millionen ADA betroffen sind.
Wichtigste Erkenntnisse
- SecondFi stellt nach einem Angriff den Betrieb ein, bei dem über eine Schwachstelle in der Signing-Software 16,1 Millionen ADA entwendet wurden, was rund 2,4 $ Millionen entspricht.
- Insgesamt waren 374 Wallets betroffen; Hardware Wallets blieben verschont und die Schwachstelle wurde inzwischen geschlossen.
- SecondFi nimmt den regulären Betrieb nicht wieder auf und plant für Anfang August Export-Tools sowie später ein Zero-Knowledge-Recovery-Portal.
Die Cardano-Wallet SecondFi fährt ihre Dienste zurück, nachdem Angreifer über einen Fehler in der Transaction-Signing-Software 16,1 Millionen ADA abgezogen haben. Das entspricht rund 2,4 $ Millionen (2,1 € Millionen). Betroffen waren insgesamt 374 Wallets. Nach Angaben des Krypto-Unternehmens ist die Schwachstelle inzwischen gepatcht, ein regulärer Neustart des Betriebs ist jedoch nicht vorgesehen.
Wie der Angriff ablief
SecondFi zufolge konnten Angreifer aus Transaktionsdaten, die auf der Cardano-Blockchain öffentlich einsehbar waren, Material für private Keys ableiten. Der Fehler lag nicht im Cardano-Netzwerk selbst. Nutzer mit einer Hardware Wallet waren nach Unternehmensangaben nicht betroffen. Zudem teilte SecondFi mit, dass zum Zeitpunkt des Angriffs noch 129 Millionen ADA gesichert gewesen seien, bevor die Angreifer darauf zugreifen konnten.
Nach der technischen Analyse dürfte die Ursache in einer vorhersehbaren Randomisierung im Seed- und Key-Derivationsprozess gelegen haben. Dadurch konnten private Keys nach dem Signieren von Transaktionen aus öffentlichen Blockchain-Daten rekonstruiert werden. Solche Vorfälle gelten als besonders kritisch, weil nicht zwingend ein Angriff auf das Netzwerk selbst vorliegt, sondern auf die Art und Weise, wie Wallet-Software Schlüssel ableitet und Transaktionen signiert.
Untersuchung deutet auf hochentwickelten Angreifer hin
Das Blockchain-Intelligence-Unternehmen Groom Lake, das von EMURGO beauftragt wurde, beschreibt den Hauptangreifer als hochentwickelt und gut finanziert. Es gibt Hinweise, die auf die Lazarus Group aus Nordkorea hindeuten, eine endgültige Zuordnung liegt aber nicht vor. Laut SecondFi war im selben Zeitraum außerdem ein separater Angreifer aktiv, der eine andere Gruppe von Wallets ins Visier nahm.
Für europäische Krypto-Nutzer ist das relevant, weil der Vorfall zeigt, dass Wallet-Sicherheit nicht nur von der sicheren Aufbewahrung der Seed Phrase abhängt, sondern auch von der Software-Schicht darum herum. Gerade bei Cardano und anderen Netzwerken, in denen Transaktionen on-chain sichtbar sind, kann ein Fehler beim Signieren oder bei der Key-Derivation direkte Folgen für die Sicherheit der Nutzerfonds haben. Das fügt sich auch in die breitere Debatte um private Keys ein, die laut Security-Forschern einen großen Teil der Schäden durch Hacks im Krypto-Bereich verursachen.
Wiederherstellung und Auslaufen
SecondFi rechnet damit, Anfang August Wallet-Export-Tools bereitzustellen und später im Monat ein Zero-Knowledge-Recovery-Portal zu starten. EMURGO hat eine Asset-Recovery-Wallet finanziert, ein konkreter Termin für Auszahlung oder Verteilung wurde bislang aber nicht genannt. Der Wiederherstellungsprozess bleibt damit vorerst offen, während der Dienst selbst schrittweise heruntergefahren wird.
