Dieser Artikel wurde zuerst auf The Bit Journal veröffentlicht.
Ein kürzlicher SecondFi-Hack hat die Cardano-Community in Angst und Schrecken versetzt, nachdem eine Schwachstelle in der Wallet-Generierungssoftware von SecondFi entdeckt wurde. Dies setzte die Nutzer einer der gefährlichsten Formen von Krypto-Kompromittierung durch vorhersagbare private Schlüssel aus.
Am 23. Juni gab SecondFi, die Self-Custody-Plattform, die früher unter dem Namen Yoroi bekannt war, bekannt, dass Angreifer eine Schwachstelle in ihrem eigenen Cardano-Wallet-Generierungssystem ausgenutzt hatten. Als Reaktion auf den Sicherheitsvorfall fuhr das Unternehmen die Dienste herunter, deaktivierte die Interaktionen auf der Benutzeroberfläche und ging in den Wartungsmodus über, während man versuchte herauszufinden, was passiert war.
Die ersten Verlustschätzungen bezifferten die Summe auf etwa 16 Millionen ADA, was rund 2,4 Millionen US-Dollar entspricht, aber Experten glauben nun, dass der verlorene Gesamtbetrag höher sein und 20 Millionen US-Dollar übersteigen könnte.
Der Hack hat den Cardano-Nutzern viel zu denken gegeben, da der Fehler nicht auf einen Smart Contract oder eine Krypto-Börse abzielte. Stattdessen betraf er die Software, die für die Generierung der privaten Schlüssel verantwortlich ist, welche die Wallets absichern.
Fehler bei der Wallet-Generierung betraf Hunderte von Nutzern
Laut SecondFi wurde festgestellt, dass der Sicherheitsvorfall seinen Ursprung in der hauseigenen Cardano-Web-Wallet-Generierungssoftware hatte. Diese Komponente erstellt Wallets und generiert die privaten Schlüssel, die für den Zugriff auf Krypto-Assets verwendet werden.
Das Unternehmen erklärte, dass nur eine begrenzte Anzahl von Wallets betroffen sei, aber Forscher aus der Community und On-Chain-Analysen deuten darauf hin, dass die privaten Schlüssel von fast 178 Wallets kompromittiert wurden und zwischen dem 21. Juni und dem 22. Juni insgesamt fast 200 verdächtige Transaktionen entdeckt wurden. Als Vorsichtsmaßnahme erfasste SecondFi die Guthaben der Nutzer, um ein Protokoll der Ereignisse für künftige Wiederherstellungsbemühungen zu führen.
Im Gegensatz zu einem typischen Phishing-Angriff folgte dieser SecondFi-Hack nicht dem üblichen Muster einer Phishing-Attacke oder eines Smart-Contract-Exploits. Dieser Fehler war in der Lage, private Schlüssel mit vorhersagbarer Zufälligkeit zu erzeugen.
Sicherheitsexperten warnen, dass jedes Wallet, das mit der betroffenen Version der Software generiert wurde, immer noch gefährdet sein könnte, selbst wenn der Nutzer bisher noch kein Geld verloren hat.
Dies ist ein großes Problem, da es bedeutet, dass Nutzer selbst dann ungeschützt gewesen sein könnten, wenn sie die üblichen Regeln der Eigenverwaltung (Self-Custody) befolgt hätten.
Warum sich die Verlustschätzungen ständig ändern
Ein weiterer Punkt, der noch völlig offen ist, ist die Höhe der Verluste.
SecondFi bezifferte den gestohlenen Gesamtbetrag zunächst auf etwa 16 Millionen ADA, was zum Zeitpunkt des Vorfalls rund 2,4 Millionen US-Dollar entsprach. Der Blockchain-Sicherheitsforscher Cos, der auch Gründer von SlowMist und als Yu Xian bekannt ist, veröffentlichte jedoch eine separate Analyse, nachdem er die Wallets der mutmaßlichen Angreifer zurückverfolgt hatte.
Basierend auf seinen Erkenntnissen glaubt er, dass die Verluste eher bei 129 Millionen ADA plus noch weiteren Token liegen könnten, was den Gesamtschaden auf über 20 Millionen US-Dollar beziffert.
Der Grund für die Abweichung zwischen den beiden Zahlen ist noch unklar.
SecondFi gibt an, eine unabhängige technische Überprüfung mit einer externen Blockchain-Sicherheitsfirma durchzuführen, und wird eine endgültige Schadensbewertung veröffentlichen, sobald die Überprüfung abgeschlossen ist. Bis dahin behandeln die meisten Analysten die offizielle Schätzung als ein Minimum und nicht als das endgültige Gesamtergebnis.
Die Imageschäden werden hoch sein
Die rufschädigenden Auswirkungen des Hacks gehen weit über die tatsächlichen finanziellen Verluste hinaus.
SecondFi hat seine Wurzeln in Yoroi, einem der frühesten und am weitesten verbreiteten Light Wallets von Cardano. Entwickelt von EMURGO, einer der drei Gründungsorganisationen von Cardano, wurde Yoroi über mehrere Jahre hinweg zu einer der wichtigsten Anlaufstellen für ADA-Inhaber.
Anfang dieses Monats schloss EMURGO den Übergang von Yoroi to SecondFi ab, brachte am 7. Juni schließlich die Version 10.0.3 auf den Markt und unternahm den Schritt, die Plattform zu einer umfassenderen Finanzplattform auszubauen, die es den Nutzern ermöglicht, neben der Integration mit Visa auch Zahlungen, Handel, Staking und Sparen zu nutzen.
Diese Abfolge der Ereignisse erklärt, warum der SecondFi-Hack so viel Aufmerksamkeit erregt hat.
Normalerweise würde eine Sicherheitslücke bei einem kleinen Startup nur für wenig Aufsehen sorgen. Wenn es sich jedoch um ein Unternehmen handelt, das direkt mit einem der Kern-Gründer von Cardano verbunden ist, wirft dies im gesamten Cardano-Ökosystem Fragen des Vertrauens auf.
SecondFi hat erklärt, dass man eng mit EMURGO, der Cardano Foundation, Input Output, Intersect und SundaeSwap zusammenarbeitet, um die Situation in den Griff zu bekommen.
Was ADA-Inhaber als Nächstes tun sollten
Sicherheitsexperten haben ungewöhnlich direkte Ratschläge erteilt. Das Cardano-Unternehmen Blink Labs hat davor gewarnt, dass Wallets, die mit der betroffenen Software erstellt wurden, wahrscheinlich als unsicher eingestuft werden sollten. Die Nutzer werden dringend gebeten, ihre Gelder sofort auf Wallets zu übertragen, die von einem anderen Anbieter generiert wurden, und dann völlig neue Seed-Phrasen zu generieren.
Zudem haben Betrüger bereits damit begonnen, die Situation auszusetzen. SecondFi hat eine Warnung vor gefälschten Support-Konten herausgegeben, die auf X und Telegram auftauchen, und die Menschen aufgefordert, sehr vorsichtig zu sein und Mitteilungen nur über offizielle Kanäle zu verifizieren.
Obwohl SecondFi inzwischen ein Protokoll der betroffenen Bestände hat, haben sie sich noch nicht zu einem Entschädigungsplan oder einem Zeitrahmen geäußert.
Fazit
Der SecondFi-Hack sticht heraus, weil er das Herzstück der Eigenverwaltung ins Visier nahm: die Generierung des privaten Schlüssels eines Nutzers.
Mit geschätzten 178 kompromittierten Wallets, Verlusten, die angeblich zwischen 2,4 Millionen und mehr als 20 Millionen US-Dollar liegen, und der Befürchtung, dass da draußen noch mehr Wallets anfällig sein könnten, hat sich der Vorfall zu einem der größten Sicherheitsereignisse entwickelt, die das Cardano-Ökosystem im Jahr 2026 getroffen haben.
Die Nutzer warten immer noch darauf, ob Wiederherstellungsbemühungen und eine potenzielle Entschädigung eingerichtet werden, um die Lage unter Kontrolle zu bringen.
Glossar
SecondFi: Finanzplattform für Eigenverwaltung auf Cardano, die früher als Yoroi bekannt war.
Privater Schlüssel (Private Key): Ein kryptographischer Schlüssel, mit dem Personen auf ihre Kryptowährung zugreifen und diese bewegen können.
ADA: Die native Kryptowährung von Cardano.
Eigenverwaltung (Self-Custody): Wenn Nutzer ihre eigenen Krypto-Assets selbst verwalten und kontrollieren, ohne dass die Hilfe Dritter erforderlich ist.
Wallet-Generierung: Der Prozess der Erstellung eines Krypto-Wallets und der damit verbundenen privaten Schlüssel.
Häufig gestellte Fragen zum SecondFi-Hack
Was hat den SecondFi-Hack ausgelöst?
Eine Schwachstelle in der Wallet-Generierungssoftware von SecondFi ermöglichte es Angreifern, vorhersagbare private Schlüssel zu erzeugen und so Zugriff auf die betroffenen Wallets zu erlangen.
Wie viele Wallets waren betroffen?
Bislang wurden rund 178 Wallets kompromittiert.
Wie viel wurde gestohlen?
SecondFi hielt fest, dass sie 16 Millionen ADA (das sind 2,4 Millionen US-Dollar) verloren haben, während SlowMist schätzt, dass es über 20 Millionen US-Dollar gewesen sein könnten.
Hat SecondFi erklärt, ob sie die Kunden entschädigen werden?
Nein, sie haben noch keinen Rückerstattungsplan oder Zeitrahmen bestätigt.
Referenzen
