SecondFi ha identificado la causa raíz de la reciente explotación que afectó a cientos de carteras de Cardano. Advirtió a los usuarios afectados que no restauren sus frases de recuperación en otra cartera, ya que el compromiso ocurre a nivel de la clave privada, no de la propia aplicación de cartera.
En una actualización de investigación publicada el 2 de junio, el proveedor de carteras Cardano afirmó que el ataque se originó por un fallo de derivación determinista de nonce en su software firmante. Esto permitió a los atacantes reconstruir matemáticamente las claves privadas a partir de datos de la blockchain disponibles públicamente después de que las direcciones afectadas firmaran transacciones.
Estos hallazgos llegan días después de que la explotación drenara aproximadamente 16 millones de ADA, con un valor de unos 2,4 millones de dólares. Afectó a 374 carteras en cuatro eventos separados de vaciado de carteras.
SecondFi afirma que un fallo en la firma expuso las claves privadas
Según SecondFi, la vulnerabilidad existía a nivel de dirección. Esto significa que las claves comprometidas permanecen expuestas incluso si los usuarios importan la misma frase de recuperación en otra cartera Cardano.
La empresa declaró que cada transacción firmada por una dirección afectada filtró suficiente información para que los atacantes derivaran la clave privada de esa dirección a partir de los datos en cadena.
Como resultado, SecondFi instó a los usuarios afectados a no migrar sus frases de recuperación a otra cartera ni intentar mover fondos de forma independiente. Advirtió que las direcciones comprometidas podrían ser drenadas nuevamente.
También advirtió contra el retiro de recompensas de staking, ya que tales transacciones podrían exponer los fondos a atacantes que monitorean el mempool.
En su lugar, el proveedor de cartera aconsejó a los usuarios afectados que esperaran su proceso oficial de recuperación mientras presentaban reclamaciones a través de su portal de soporte.
El esfuerzo de recuperación entra en la siguiente fase
SecondFi declaró que ha completado el mapeo de todas las carteras afectadas durante la explotación inicial y ha comenzado la siguiente etapa de su programa de recuperación.
La empresa confirmó que 374 direcciones de cartera se vieron afectadas, con aproximadamente 16 millones de ADA comprometidos. Añadió que los esfuerzos de contención de emergencia ya han asegurado alrededor de 129 millones de ADA, que se están reteniendo pendientes de las operaciones de recuperación.
SecondFi también ha establecido un fondo de restauración dedicado para reembolsar a los usuarios afectados y ha contratado a múltiples firmas de seguridad externas para auditar sus sistemas antes de reanudar las operaciones normales.
La plataforma permanece en modo de mantenimiento mientras continúan las revisiones de seguridad independientes.
Los investigadores identifican dos grupos de atacantes
Como parte de su última actualización, SecondFi afirmó que había identificado y aislado las direcciones de blockchain asociadas con dos atacantes responsables de las campañas automatizadas de vaciado de carteras entre el 21 y el 23 de junio.
Según la investigación, un atacante drenó 171 carteras en dos oleadas. Al mismo tiempo, un segundo actor comprometió 203 carteras durante un barrido separado.
La compañía también reveló que aproximadamente 4,02 millones de ADA vinculados a la explotación permanecen en una cartera de recolección identificada. La cartera ha sido marcada y permanece bajo monitoreo activo.
Resumen Final
- SecondFi rastreó la explotación de la cartera Cardano hasta un fallo de derivación determinista de nonce que permitió a los atacantes reconstruir claves privadas a partir de datos públicos de la blockchain.
- La compañía ha lanzado un programa de recuperación, identificado dos grupos de atacantes y advertido a los usuarios afectados que no restauren frases de recuperación comprometidas en otras carteras.
