Проєкт SecondFi, що працює в екосистемі Cardano (ADA), постраждав від масштабного зламу. Причиною стала вразливість у його власному програмному забезпеченні для генерації гаманців, а не в базовому протоколі Cardano.

Як стався злам

За даними команди SecondFi, проріха у власницькому софті для генерації гаманців відкрила зловмисникам доступ до коштів одразу кількох користувачів. Проєкт провів ончейн-аналіз, щоб окреслити коло уражених адрес, і залучив незалежну компанію з блокчейн-безпеки для технічної експертизи.

Власна оцінка SecondFi — близько 16 млн ADA. Проте аналітики SlowMist, вивчивши рух коштів зловмисника й активність гаманців, говорять про понад 129 млн ADA та інші токени. Засновник SlowMist Юй Сянь, відомий під ніком Cos, оцінив сукупні збитки більш ніж у $20 млн. Станом на 24 червня ADA торгується по $0,150237 (−3,00% за добу), тобто верхня оцінка SlowMist у 129 млн ADA відповідає приблизно $19,4 млн; вище цієї суми збитки виводять токени, відмінні від ADA. Остаточна цифра залежатиме від результатів незалежної перевірки.

Інцидент вписується в серію атак на інфраструктурний шар: раніше в червні компрометація приватних ключів Humanity Protocol обвалила токен проєкту на 88% за добу, а експлойт мосту Syscoin показав, що вади на рівні ПЗ часто вислизають від стандартних аудитів. В обох випадках вразливість була в надбудові над базовою мережею.

Тиск на ADA

ADA і без того торгується поблизу п’ятирічних мінімумів. Чарльз Хоскінсон нещодавно запропонував план порятунку Cardano, але тримачі сприйняли його загалом скептично. Коментуючи інцидент, Хоскінсон зазначив, що на тлі інших криптозламів сума виглядає невеликою, однак постраждалим від цього не легше — дехто міг втратити всі свої ADA.

Злам стався лише через день після запуску тестнету Cardano під назвою Leios Musashi Dojo, при цьому помітного пожвавлення ончейн-активності дані тоді не показали. Строки компенсацій і план відновлення SecondFi поки не розкрив.

Джерело: BeInCrypto