Hackeo de la billetera SecondFi en Cardano: robados 16 millones de ADA, 374 direcciones afectadas
El 23 de junio de 2026, la plataforma SecondFi, conocida anteriormente como Yoroi Wallet, anunció una vulnerabilidad crítica en su billetera en la blockchain de Cardano. Como resultado del ataque, los atacantes retiraron alrededor de 16 millones de ADA desde 374 direcciones. Con el tipo de cambio actual de ADA en torno a $0,146, el daño se estima en aproximadamente $2,4 millones. El equipo puso inmediatamente la plataforma en modo de servicio seguro, bloqueando temporalmente la posibilidad de realizar operaciones a través de la interfaz.
En su comunicado, SecondFi destacó que las medidas de emergencia permitieron proteger los 129 millones de ADA restantes de una pérdida total. Estos fondos fueron redirigidos a un custodio calificado independiente, donde se almacenan en beneficio de las direcciones afectadas. En total, se registraron cuatro eventos de retiro de fondos: tres fueron realizados por hackers, y el cuarto probablemente está relacionado con acciones del propio equipo para proteger los activos. Sin embargo, esto no se revela directamente.
Causa de la vulnerabilidad: un problema a nivel de direcciones
El análisis del incidente mostró que la vulnerabilidad se encuentra a nivel de direcciones y afecta el proceso de firma de transacciones. El director ejecutivo de Immunefi, Mitchell Amador, señaló que el software de SecondFi expuso las claves privadas que él mismo generaba. El problema no radica en la propia blockchain de Cardano, sino en el módulo de la billetera responsable de la creación de claves. Por eso SecondFi recomendó encarecidamente a los usuarios no restaurar la frase semilla en otras billeteras basadas en Cardano: los riesgos persisten.
El equipo ya ha identificado la causa y ha lanzado una corrección para las billeteras no afectadas. Se está trabajando activamente con actores clave del ecosistema Cardano: Input Output Global (IOG), Cardano Foundation, Intersect y SundaeSwap.
Posición de IOG y Charles Hoskinson
El fundador de Cardano, Charles Hoskinson, se apresuró a distanciar a IOG del incidente. En su declaración, destacó que SecondFi no es un producto de IOG, y la empresa no tiene participaciones, control ni relaciones comerciales con este proyecto. "No escribimos este código ni estamos vinculados a él", afirmó Hoskinson, comparando la situación con acudir a Apple por un problema en un producto de Microsoft.
Cabe destacar que detrás de SecondFi está EMURGO, uno de los cofundadores de la blockchain Cardano, que se posiciona como la fuerza impulsora de la adopción comercial de la tecnología. Sin embargo, Hoskinson subrayó que IOG no controla a EMURGO y no puede hablar en su nombre.
Este incidente vuelve a plantear preguntas sobre la seguridad de las billeteras en el ecosistema Cardano, especialmente tras el caso reciente en el que una billetera "inactiva" intercambió accidentalmente 14,4 millones de ADA a través de un pool no líquido, perdiendo $6,05 millones. El analista ZachXBT había calificado anteriormente el modelo de funcionamiento de Cardano como un "esquema de enriquecimiento de personas internas", y estos incidentes solo refuerzan sus argumentos.
Opinión de experto de Cryptalist: La filtración de claves privadas debido a un error en la generación es un ejemplo clásico de cómo la confianza en el "almacenamiento autónomo" puede verse socavada por un código deficiente. Los usuarios deberían verificar la reputación y la auditoría de las billeteras, en lugar de confiar solo en nombres destacados dentro del ecosistema. Cardano, a pesar de su enfoque científico, no está exento de estos errores, y este caso será un duro golpe para la confianza en SecondFi e, indirectamente, en EMURGO.