Eine Self-Custody-Wallet, auf die sich mehr als eine Million Cardano-Nutzer verlassen, wurde an ihrer sensibelsten Stelle gehackt: dem Code, der private Schlüssel generiert. SecondFi, die Plattform, die früher als Yoroi bekannt war, gab am 23. Juni bekannt, dass Angreifer eine Schwachstelle in ihrer Software zur Erstellung von Web-Wallets ausgenutzt haben und Cardano-Coins, Token und NFTs von Inhabern abgezogen haben, die glaubten, ihre Vermögenswerte seien sicher unter ihrer Kontrolle.
Nach vorläufigen Schätzungen des Teams beläuft sich der Schaden auf rund 16 Millionen ADA – das entspricht bei aktuellen Kursen etwa 2,4 Millionen US-Dollar – verteilt auf etwa 178 betroffene Wallets. Die meisten Diebstähle konzentrierten sich auf den Zeitraum vom 21. bis zum 22. Juni. SecondFi hat seine Dienste ausgesetzt, ist in den Wartungsmodus gewechselt und hat einen Snapshot der Guthaben erstellt, der laut eigenen Angaben als Grundlage für eine spätere Wiederherstellung dienen könnte.
SecondFi-Verluste könnten 129 Millionen ADA erreichen
Die offizielle Bilanz könnte eher eine Untergrenze als eine Obergrenze darstellen. SlowMist-Gründer Cos, auch bekannt als Yu Xian, verfolgte die On-Chain-Bewegungen der Angreifer und schätzte, dass die Verluste der Nutzer letztendlich 20 Millionen US-Dollar übersteigen könnten, was bis zu 129 Millionen ADA entspricht.
Diese etwa achtfache Differenz deutet auf eine beunruhigende Möglichkeit hin: Viele Wallets, die mit der fehlerhaften Software erstellt wurden, sind möglicherweise noch nicht leergeräumt worden, bleiben aber weiterhin gefährdet. Eine genaue Zahl, so SecondFi, werde nach einer unabhängigen technischen Prüfung bekannt gegeben.
Die Art der Schwachstelle macht die Warnung ungewöhnlich direkt. Da die Schwachstelle in der Art und Weise liegt, wie Schlüssel erstellt wurden, ist das kompromittierte Element die Wallet selbst, nicht ein Passwort oder ein Gerät.
Das Wiederherstellen derselben Wiederherstellungsphrase in einer anderen App ändert nichts; den Inhabern wird geraten, neue Schlüssel bei einem anderen Anbieter zu generieren und ihre Guthaben unverzüglich zu transferieren. Das Cardano-Ledger und der Konsens waren zu keinem Zeitpunkt betroffen, da es sich um einen Fehler in der Wallet-Software handelte, nicht in der Blockchain.
Cardano-Exploit stellt das Vertrauen im gesamten ADA-Ökosystem auf die Probe
Der Schaden ist aufgrund der Herkunft von SecondFi umso schwerwiegender. Yoroi wurde von EMURGO entwickelt, einem der drei Gründerunternehmen von Cardano, was die Frage nach der Verantwortlichkeit weit über eine einzelne App hinaus treibt.
SecondFi koordiniert Berichten zufolge seine Reaktion mit den zentralen Cardano-Institutionen, doch ein Entschädigungsplan oder ein Zeitplan wurde noch nicht bestätigt. Für betroffene Inhaber ist diese offene Frage – und nicht die in den Schlagzeilen genannte Summe in Dollar – derzeit das Wichtigste.
WEITERLESEN: Worldcoin-Kurs bricht ein, während das Handelsvolumen auf über 500 Millionen Dollar steigt
