Cardano экожүйесіндегі SecondFi бұзылуы: нақты шығын $20 миллионға жетуі мүмкін
Cardano экожүйесінде жұмыс істейтін SecondFi жобасы ауыр қауіпсіздік оқиғасының фактісін растады. Себеп — жеке әмиян генерациялау бағдарламалық қамтамасыз етуіндегі осалдық. Команданың алдын ала бағалауы бойынша, тікелей шығын шамамен 16 млн ADA (шамамен $2,4 млн) құрайды, алайда тәуелсіз сарапшылардың деректері нақты шығын $20 млн-нан асуы мүмкін екенін көрсетеді.
Ішкі тергеу барысында компания әзірлеген Cardano әмиян генераторында олқылық пайда болғаны анықталды. Команда шығын көлемін бағалау үшін ончейн-талдау жүргізіп, тәуелсіз техникалық аудит үшін үшінші тараптың блокчейн қауіпсіздігі компаниясын тартты.
Шығынды бағалаудағы алшақтық
SlowMist қауіпсіздік компаниясының негізін қалаушы Юй Сянь нақты шығын ресми сандардан айтарлықтай жоғары болуы мүмкін деп санайды. Оның зиянкестің қаражат қозғалысы мен әмиян белсенділігін талдауы пайдаланушылардың теориялық шығыны $20 млн-нан асуы мүмкін екенін көрсетеді.
Cos бағалауы бойынша, оқиғаға 129 млн ADA және басқа токендерге дейінгі шығын байланысты болуы мүмкін — бұл жобаның өзінің бастапқы есептеулерінен бірнеше есе артық. Ол зиянкестің екі болжамды мекенжайын қадағалағанын атап өтті.
SlowMist пен SecondFi бағалаулары арасындағы шамамен сегіз еселік алшақтық әлі де елеулі болып қалады. Бұл бұзылған әмияндардың бір бөлігі әлі босатылмаған, бірақ осал күйінде қалғанын білдіруі мүмкін. Барлық активтер шығарылмағанша, пайдаланушыларға қауіп сақталады.
Осалдықтың қаупі қандай және пайдаланушылар не істеуі керек
Қауіп активтерді өз бетінше сақтаудың іргелі принципіне әсер етеді. Осал бағдарламалық қамтамасыз ету болжамды кездейсоқтықпен жеке кілттерді генерациялады, осыған байланысты осы бағдарлама арқылы жасалған барлық әмияндар қауіп астында қалды. Бастапқы бағалау бойынша, шамамен 178 әмиян зардап шекті.
SecondFi — бұл Yoroi өнімінің қайта аталған нұсқасы, Cardano-ның ең алғашқы және танымал «жеңіл» әмияндарының бірі, оны миллионнан астам ADA ұстаушысы пайдаланған. Оны Cardano-ның үш негізін қалаушы компаниясының бірі EMURGO әзірлеп, 2026 жылдың маусым айының басында ребрендинг жүргізді. Осылайша, шабуылдан келген беделдік соққы анонимді жобалардағы оқиғаларға қарағанда күштірек сезіледі.
Жоба жұмысын тоқтатып, қызмет көрсету режиміне көшіп, пайдаланушылардың баланстарының суретін түсірді. Команда өзінің бағдарламалық қамтамасыз етуі арқылы әмиян жасағандардың барлығын активтерді басқа қызметтердің әмияндарына дереу аударуға шақырды. SecondFi тергеуді жалғастыруда, ал нақты шығын сомасын техникалық аудит аяқталғаннан кейін жариялауға уәде етеді.
Менің талдауым: Бұл оқиға — тіпті көп жылдық тарихы бар құрметті жобалардың кодында сыни қателер болуы мүмкін екендігінің тағы бір ескертуі. Болжамды кілт генерациясы — бұл аудиторлар да, әзірлеушілер де жіберіп алмауы тиіс негіз. Cardano пайдаланушылары қауіпсіздікке деген көзқарастарын қайта қарауы керек: активтерін тек аппараттық әмияндарға немесе бірнеше рет аудиттен өткен, ашық бастапқы коды бар сенімді шешімдерге сеніп тапсыру керек. Индустрия «жеңіл» әмияндар үшін бірыңғай қауіпсіздік стандарттарын әзірлемейінше, мұндай шабуылдар қайталана береді.