SecondFi kończy działalność po kradzieży 16,1 mln ADA

Błąd dotyczył oprogramowania do podpisywania, a nie samego Cardano. SecondFi pracuje nad narzędziami odzyskiwania, a skutki odczuło 374 portfele i 16,1 mln ADA.

Najważniejsze informacje

• SecondFi kończy działalność po ataku, w którym z powodu błędu w oprogramowaniu do podpisywania skradziono 16,1 mln ADA, czyli około 2,4 mln $.
• Łącznie dotknięto 374 portfele; portfele sprzętowe nie zostały naruszone, a luka została już załatana.
• SecondFi nie wznawia normalnej działalności i planuje na początek sierpnia narzędzia eksportu, a później portal odzyskiwania oparty na zero-knowledge.

Cardano wallet SecondFi wygasza swoje usługi po tym, jak napastnicy wykorzystali lukę w oprogramowaniu do podpisywania transakcji i wyprowadzili 16,1 mln ADA, czyli około 2,4 mln $ (2,1 mln €). Incydent objął łącznie 374 portfele. Firma kryptowalutowa informuje, że podatność została już usunięta, ale działalność nie zostanie wznowiona w standardowym trybie.

Jak przebiegał atak

Według SecondFi napastnicy mogli wydobyć materiał klucza prywatnego z danych transakcyjnych widocznych na blockchainie Cardano. Problem nie dotyczył samej sieci Cardano, a użytkownicy korzystający z portfela sprzętowego nie zostali objęci atakiem. Firma podaje też, że w chwili incydentu zdołała jeszcze zabezpieczyć 129 mln ADA, zanim sprawcy uzyskali do nich dostęp.

Źródło problemu technicznego miało leżeć w przewidywalnej randomizacji stosowanej przy generowaniu seedów i wyprowadzaniu kluczy. W praktyce umożliwiało to odtworzenie kluczy prywatnych na podstawie publicznych danych blockchain po podpisaniu transakcji. Tego typu incydenty są szczególnie groźne, bo atak nie musi polegać na przełamaniu samej sieci. Wystarczy słabość w sposobie, w jaki oprogramowanie portfela wyprowadza klucze i podpisuje transakcje.

Dochodzenie wskazuje na zaawansowanego napastnika

Firma analityczna Groom Lake, działająca na zlecenie EMURGO, ocenia głównego sprawcę jako dobrze finansowanego i zaawansowanego technicznie. Pojawiają się przesłanki wskazujące na Lazarus Group z Korei Północnej, ale na tym etapie nie ma ostatecznego przypisania ataku. SecondFi informuje również, że w tym samym czasie działał jeszcze jeden napastnik, który atakował inną grupę portfeli.

Dla europejskich użytkowników kryptowalut to ważny sygnał, ponieważ pokazuje, że bezpieczeństwo portfela nie zależy wyłącznie od przechowywania seed phrase. Równie istotna jest warstwa oprogramowania, która działa wokół niego. Zwłaszcza w przypadku Cardano i innych sieci, w których transakcje są widoczne on-chain, błąd w podpisywaniu lub wyprowadzaniu kluczy może bezpośrednio zagrozić bezpieczeństwu środków użytkowników. To wpisuje się też w szersze obawy dotyczące kluczy prywatnych, które według badaczy bezpieczeństwa odpowiadają za znaczną część strat po atakach hakerskich w krypto.

Odzyskiwanie i wygaszanie usług

SecondFi planuje uruchomić na początku sierpnia narzędzia do eksportu portfeli, a później w tym samym miesiącu także portal odzyskiwania oparty na zero-knowledge. EMURGO sfinansowało wallet do odzyskiwania aktywów, ale nie podano jeszcze stałej daty wypłat ani dystrybucji. Proces odzyskiwania pozostaje więc na razie otwarty, a sama usługa przechodzi stopniowo do fazy wygaszania.