Explotación de SecondFi: 16 millones de ADA robados de billeteras: detalles del incidente y reacción del ecosistema Cardano
El 23 de junio, el equipo de SecondFi detectó una vulnerabilidad crítica en su propia billetera en la blockchain de Cardano. En respuesta al incidente, la plataforma se puso inmediatamente en modo de mantenimiento seguro, suspendiendo todas las operaciones a través de la interfaz hasta determinar el alcance del ataque.
Al día siguiente, el 24 de junio, se supo que los atacantes habían logrado retirar aproximadamente 16 millones de ADA desde 374 direcciones. Según mis estimaciones, basadas en el tipo de cambio de ADA en el momento del incidente (alrededor de $0,146), el daño asciende a aproximadamente $2,4 millones. Esto supone un duro golpe para la confianza en el servicio, pero, afortunadamente, no es fatal para toda la blockchain.
Como parte de las medidas de emergencia, el equipo de SecondFi logró proteger los 129 millones de ADA restantes. Estos fondos se transfirieron rápidamente a un custodio externo independiente y calificado para su custodia en beneficio de los usuarios afectados. Los desarrolladores ya han identificado la causa raíz del hackeo y han publicado una corrección para las billeteras no afectadas por el ataque.
Anatomía del ataque y amenaza a las claves privadas
Según los datos de la investigación, se registraron cuatro eventos de retiro de fondos. Tres de ellos fueron realizados por los atacantes, y el cuarto probablemente fue iniciado por el propio equipo para mover los activos protegidos. El CEO de Immunefi, Mitchell Amador, señaló que la vulnerabilidad reside en el software del proyecto, que exponía las claves privadas que generaba. El problema no afectó a la propia blockchain de Cardano, sino al módulo de la billetera responsable de la creación de claves. Por esta razón, SecondFi recomendó encarecidamente a los usuarios no restaurar la frase semilla en otras billeteras basadas en Cardano, ya que el riesgo de compromiso persistía.
Reacción de los líderes del ecosistema
El fundador de Cardano, Charles Hoskinson, se apresuró a distanciar a su empresa Input Output Global (IOG) del incidente. Destacó que SecondFi no es un producto de IOG, y que no tienen participación, control ni relaciones comerciales. "No escribimos este código ni estamos vinculados a él", declaró Hoskinson, comparando la situación con preguntarle a Apple sobre la solución de un problema en un producto de Microsoft.
Cabe señalar que detrás de SecondFi (anteriormente conocida como Yoroi Wallet) se encuentra EMURGO, uno de los actores clave y cofundadores de la blockchain de Cardano. EMURGO se describe a sí misma como una empresa que impulsa la adopción comercial de la tecnología blockchain. Sin embargo, como demostró este incidente, incluso la cercanía a los fundadores no garantiza una seguridad impecable del código.
Mi análisis: Este hackeo es un recordatorio más de que, en DeFi y las billeteras de autocustodia, la seguridad del código es de suma importancia. Una vulnerabilidad a nivel de generación de claves es una bomba de tiempo que puede afectar no a una, sino a múltiples billeteras. Aunque el ecosistema de Cardano en general no se ha visto perjudicado, el daño reputacional para SecondFi e indirectamente para EMURGO podría ser significativo. Los inversores y usuarios deben extremar la precaución al elegir billeteras, especialmente aquellas que no hayan pasado por múltiples auditorías de código realizadas por expertos independientes.