SecondFi a identifié la cause profonde de l'exploit récent qui a ciblé des centaines de portefeuilles Cardano. L'entreprise a averti les utilisateurs affectés de ne pas restaurer leurs phrases de récupération dans un autre portefeuille, car la compromission se produit au niveau de la clé privée et non de l'application de portefeuille elle-même.
Dans une mise à jour de l'enquête publiée le 2 juin, le fournisseur de portefeuille Cardano a déclaré que l'attaque provenait d'un défaut dans la dérivation déterministe du nonce de son logiciel de signature. Cela a permis aux attaquants de reconstruire mathématiquement les clés privées à partir des données publiquement disponibles sur la blockchain après que les adresses affectées aient signé des transactions.
Ces conclusions interviennent quelques jours après que l'exploit a drainé environ 16 millions d'ADA, d'une valeur d'environ 2,4 millions de dollars. Il a affecté 374 portefeuilles lors de quatre événements distincts de vidage de portefeuilles.
SecondFi affirme qu'un défaut de signature a exposé les clés privées
Selon SecondFi, la vulnérabilité existait au niveau de l'adresse. Cela signifie que les clés compromises restent exposées même si les utilisateurs importent la même phrase de récupération dans un autre portefeuille Cardano.
La société a déclaré que chaque transaction signée par une adresse affectée a divulgué suffisamment d'informations pour que les attaquants puissent dériver la clé privée de cette adresse à partir des données en chaîne.
En conséquence, SecondFi a exhorté les utilisateurs affectés à ne pas migrer leurs phrases de récupération vers un autre portefeuille ni à tenter de déplacer des fonds de manière indépendante. Elle a averti que les adresses compromises pourraient être vidées à nouveau.
Elle a également mis en garde contre le retrait des récompenses de staking, car de telles transactions pourraient exposer les fonds aux attaquants surveillant le mempool.
Au lieu de cela, le fournisseur de portefeuille a conseillé aux utilisateurs affectés d'attendre son processus de récupération officiel tout en soumettant leurs réclamations via son portail de support.
L'effort de récupération entre dans la phase suivante
SecondFi a déclaré avoir terminé la cartographie de tous les portefeuilles affectés lors de l'exploit initial et avoir entamé l'étape suivante de son programme de récupération.
La société a confirmé que 374 adresses de portefeuille ont été impactées, avec environ 16 millions d'ADA compromis. Elle a ajouté que les efforts d'endiguement d'urgence ont déjà sécurisé environ 129 millions d'ADA, qui sont détenus en attente des opérations de récupération.
SecondFi a également établi un fonds de restauration dédié pour indemniser les utilisateurs affectés et a engagé plusieurs entreprises de sécurité externes pour auditer ses systèmes avant de reprendre ses opérations normales.
La plateforme reste en mode maintenance pendant que les revues de sécurité indépendantes se poursuivent.
Les enquêteurs identifient deux groupes d'attaquants
Dans le cadre de sa dernière mise à jour, SecondFi a déclaré avoir identifié et isolé les adresses blockchain associées à deux attaquants responsables des campagnes automatisées de vidage de portefeuilles entre les 21 et 23 juin.
Selon l'enquête, un attaquant a vidé 171 portefeuilles en deux vagues. Simultanément, un second acteur a compromis 203 portefeuilles lors d'un balayage séparé.
La société a également révélé qu'environ 4,02 millions d'ADA liés à l'exploit restent dans un portefeuille de collecte identifié. Le portefeuille a été signalé et reste sous surveillance active.
Résumé final
- SecondFi a retracé l'exploit du portefeuille Cardano jusqu'à un défaut de dérivation déterministe du nonce qui a permis aux attaquants de reconstruire les clés privées à partir des données publiques de la blockchain.
- La société a lancé un programme de récupération, identifié deux groupes d'attaquants et averti les utilisateurs affectés de ne pas restaurer les phrases de récupération compromises dans d'autres portefeuilles.
