Exploit SecondFi : 2,4 M $ vidés de portefeuilles Cardano

SecondFi, le portefeuille Cardano anciennement connu sous le nom de Yoroi, a été frappé par trois attaques distinctes qui ont vidé environ 16 millions d'ADA, soit quelque 2,4 millions de dollars, de 374 portefeuilles d'utilisateurs, via une faille dans le logiciel propriétaire de génération de portefeuilles de la plateforme. Un correctif a déjà été déployé pour les utilisateurs non concernés.

La vulnérabilité s'active au niveau de l'adresse lors de la signature d'une transaction, ce qui signifie que les utilisateurs affectés ne peuvent pas se protéger en déplaçant leur phrase de récupération vers un autre portefeuille. Ils doivent au contraire soumettre leurs réclamations directement à SecondFi. Avant que les attaquants ne puissent atteindre 129 millions d'ADA supplémentaires détenus par les utilisateurs impactés, l'équipe a déclenché des mesures de sauvetage d'urgence et acheminé les fonds vers un dépositaire tiers indépendant. Un cabinet comptable externe a été mandaté pour vérifier ces avoirs.

La société de sécurité blockchain SlowMist a estimé que les pertes totales pourraient toujours dépasser 20 millions de dollars une fois comptabilisé l'ensemble des portefeuilles et des jetons compromis, un chiffre qui reste non confirmé dans l'attente d'un audit indépendant.

Pourquoi c'est important

Le mécanisme fait l'actualité. Les failles de génération de clés au niveau des adresses constituent une catégorie de bugs particulièrement redoutable, car la mesure de récupération standard en auto-garde, à savoir balayer une phrase de récupération vers un portefeuille neuf, ne neutralise pas l'exposition. Chaque signature provenant d'une clé compromise reste une porte ouverte. Le workflow de réclamation de SecondFi est donc l'unique voie de sortie pour les utilisateurs affectés, ce qui reporte la charge de la restitution sur une petite équipe encore occupée par sa propre gestion de l'incident.

Le fondateur de Cardano, Charles Hoskinson, a reconnu publiquement l'incident et a fait remarquer que le montant en dollars restait modeste par rapport à d'autres piratages crypto, tout en soulignant que cela offrait peu de consolation aux personnes touchées. « Ils souffrent dès qu'ils perdent quoi que ce soit. C'est la réalité malheureuse de la crypto », a-t-il déclaré.

Impact sur le marché

L'ADA se négocie actuellement autour de 0,15 $, son plus bas niveau depuis 2020. L'exploit s'ajoute à une tendance baissière pluriannuelle pour le jeton et exerce une pression réputationnelle sur l'infrastructure de portefeuille native de Cardano à un moment où l'activité du réseau était déjà faible.