SecondFi Akan Ditutup Setelah Cacat Terungkap Kunci Pribadi, 16,1 Juta ADA Dicuri

• SecondFi tidak akan melanjutkan operasi normal setelah cacat mengungkap 374 dompet Cardano.
• Penyerang mencuri 16,1 juta ADA senilai $2,6 juta dari dompet yang terpengaruh.
• SecondFi beralih ke pemulihan dan migrasi saat pengguna mempertanyakan jadwal yang tertunda.

SecondFi mengatakan tidak akan melanjutkan operasi normal setelah penyelidikannya mengidentifikasi kelemahan derivasi nonce deterministik pada penanda tangan perangkat lunaknya yang mengekspos materi kunci pribadi melalui data transaksi Cardano publik. Menurut laporan resmi, pelanggaran tersebut memengaruhi 374 dompet antara 21 Juni dan 23 Juni, memungkinkan penyerang untuk mencuri 16,1 juta ADA senilai $2,6 juta.

Namun, insiden tersebut tidak membahayakan blockchain Cardano. Sebaliknya, penyelidik melacak kegagalan perangkat lunak dompet dan penanganan tanda tangan Ed25519.

Logika Penandatanganan yang Cacat Mengubah Data Publik Menjadi Kunci Pribadi

Menurut BlockSec, perangkat lunak yang terpengaruh menghasilkan penandatanganan nonce hanya menggunakan pesan transaksi publik. Sebaliknya, implementasi yang aman menggabungkan pesan itu dengan materi kunci rahasia.

Akibatnya, setelah pengguna menandatangani dan menyiarkan transaksi, penyerang dapat merekonstruksi nonce dari data yang tersedia untuk umum. Penyerang kemudian dapat menyelesaikan persamaan tanda tangan dan memulihkan kunci pribadi tingkat alamat.

Kerentanan memengaruhi versi 10.0.3 hingga 10.0.6, sedangkan versi 10.0.6.2 berisi koreksi. Namun demikian, alamat yang sebelumnya diekspos melalui perangkat lunak yang cacat masih memerlukan migrasi ke kunci yang baru dibuat.

Cukup mengimpor frasa benih yang sama ke dalam perangkat lunak yang dikoreksi tidak menghilangkan eksposur sebelumnya. Oleh karena itu, pengguna yang terkena dampak harus mentransfer aset mereka ke dompet yang diamankan oleh kunci baru.

Sementara itu, EMURGO menyewa perusahaan intelijen blockchain Groom Lake untuk menyelidiki pencurian tersebut. Penyelidikan mengidentifikasi satu operasi canggih dan penyerang kedua menggunakan kelompok dompet terpisah.

Karena dua set alamat yang terkena dampak tidak tumpang tindih, penyelidik menyimpulkan bahwa aktor yang terpisah telah mengeksploitasi kerentanan secara independen. Beberapa indikator juga menyerupai aktivitas yang sebelumnya terkait dengan Grup Lazarus.

Namun, penyelidik belum mengkonfirmasi atribusi apa pun. Secara terpisah, SecondFi mengatakan salinan kode yang cacat muncul di repositori GitHub publik tanpa izin.

Upaya pemulihan menghadapi penundaan saat pengguna menunggu langkah selanjutnya

Menyusul keputusannya untuk mengakhiri operasi normal, SecondFi memfokuskan sumber daya yang tersisa pada pemulihan aset, migrasi dompet, dan kerja sama dengan pihak berwenang.

Sebagai bagian dari proses itu, SecondFi sedang menguji alat pemulihan tanpa pengetahuan . Sistem ini akan memungkinkan pengguna yang terkena dampak untuk membuktikan kepemilikan dompet sambil membatasi informasi pribadi yang mereka ungkapkan.

Namun, alat tersebut harus lulus audit independen sebelum rilis yang direncanakan pada Agustus 2026. SecondFi juga berharap untuk memperkenalkan fungsionalitas ekspor dompet pada awal Agustus, memungkinkan pengguna untuk mentransfer aset ke dompet lain.

Sementara itu, beberapa pengguna telah mengkritik perpanjangan timeline pemulihan. Panduan sebelumnya menunjukkan bahwa proses dapat dimulai dalam waktu dua minggu setelah pengujian dan tinjauan keamanan selesai.

Namun, hampir sebulan kemudian, alat pemulihan masih dalam pengembangan. Akibatnya, pengguna yang terkena dampak masih menunggu proses yang dikonfirmasi untuk mengklaim kembali atau memigrasikan aset mereka.

Selama respons awal, tim mentransfer sekitar 129 juta ADA ke kustodian independen sebelum penyerang dapat mengakses dana tersebut. Namun demikian, pembaruan terbaru tidak memberikan jadwal penggantian atau menjelaskan bagaimana kerugian yang belum dipulihkan akan ditanggung.

Terkait: Prediksi Harga Cardano: Bisakah Rencana Pemulihan SecondFi Menarik ADA Keluar Dari Kemerosotannya?