SecondFi encerra após roubo de 16,1 milhões de ADA

A falha estava no software de assinatura, não na própria Cardano. A SecondFi está a trabalhar em ferramentas de recuperação, enquanto 374 wallets e 16,1 milhões de ADA foram afetados.

Pontos principais

• A SecondFi encerra após um ataque em que, através de uma falha no software de assinatura, foram roubados 16,1 milhões de ADA, o equivalente a cerca de 2,4$ milhões.
• No total, foram afetadas 374 wallets; as hardware wallets não foram atingidas e a vulnerabilidade já foi corrigida.
• A SecondFi não retoma as operações normais e prevê lançar no início de agosto ferramentas de exportação e, mais tarde, um portal de recuperação de zero conhecimento.

Cardano wallet SecondFi está a reduzir a sua atividade depois de atacantes terem desviado 16,1 milhões de ADA através de uma falha no software de assinatura de transações, num valor equivalente a cerca de 2,4$ milhões (2,1€ milhões). No total, 374 wallets foram afetadas. A empresa de criptomoedas afirma que a vulnerabilidade já foi corrigida, mas que não vai retomar as operações normais.

Como o ataque funcionou

De acordo com a SecondFi, os atacantes conseguiram inferir material de private key a partir de dados de transações visíveis na blockchain Cardano. A falha não estava na própria rede Cardano, e os utilizadores com hardware wallet não foram afetados. A empresa acrescenta ainda que, no momento do ataque, continuava a ter 129 milhões de ADA protegidos antes de os atacantes conseguirem lá chegar.

A origem técnica do problema parece estar numa randomização previsível no processo de derivação de seed e de key, o que permitiu reconstruir private keys a partir de dados públicos da blockchain depois da assinatura das transações. Por isso, este tipo de incidente é particularmente sensível, uma vez que o ataque não depende necessariamente de uma quebra da rede, mas da forma como o software da wallet deriva chaves e assina transações.

Investigação aponta para atacante avançado

A empresa de blockchain intelligence Groom Lake, contratada pela EMURGO, descreve o principal atacante como avançado e bem financiado. Existem indícios que apontam para o Lazarus Group da Coreia do Norte, mas não há uma atribuição definitiva. Segundo a SecondFi, no mesmo período também esteve ativo um atacante separado que visou outro conjunto de wallets.

Para os utilizadores europeus de criptomoedas, este caso é relevante porque mostra que a segurança da wallet não depende apenas da guarda de uma seed phrase, mas também da camada de software que a envolve. Sobretudo na Cardano e noutras redes em que as transações são visíveis on-chain, uma falha na assinatura ou na derivação de chaves pode ter consequências diretas para a segurança dos fundos dos utilizadores. Isto está alinhado com preocupações mais amplas sobre private keys, que, segundo investigadores de segurança, estão na origem de uma grande parte dos prejuízos causados por ataques em criptomoedas.

Recuperação e descontinuação

A SecondFi prevê lançar no início de agosto ferramentas de exportação de wallets e, mais tarde nesse mês, um portal de recuperação de zero conhecimento. A EMURGO financiou uma wallet de recuperação de ativos, mas ainda não foi indicada uma data fixa para pagamento ou distribuição. Assim, o processo de recuperação continua, para já, em aberto, enquanto o próprio serviço entra numa fase de descontinuação.