L'exploit de la carte SecondFi est devenu l'un des incidents de sécurité des portefeuilles les plus significatifs dans l'écosystème Cardano après que des attaquants ont siphonné environ 16 millions d'ADA, d'une valeur d'environ 2,4 millions de dollars, depuis des centaines de portefeuilles d'utilisateurs. Bien que l'ampleur des pertes ait alarmé la communauté crypto, l'incident n'impliquait pas une vulnérabilité dans la blockchain Cardano elle-même.

Au lieu de cela, les enquêteurs ont retracé l'attaque à une faille dans le logiciel de portefeuille web propriétaire de SecondFi. La vulnérabilité a permis aux attaquants de reconstruire les clés privées des utilisateurs après que des transactions légitimes aient été signées, transformant l'activité ordinaire du portefeuille en une opportunité de vol.

L'événement a suscité de nouvelles discussions sur la sécurité des portefeuilles, les dépendances aux logiciels tiers et l'importance des audits de code rigoureux. Voici tout ce que vous devez savoir sur ce qui s'est passé, pourquoi cela s'est produit et ce que les utilisateurs affectés devraient faire ensuite.

Points Clés

• L'exploit a affecté le logiciel de portefeuille de SecondFi, et non la blockchain Cardano. Environ 16 millions d'ADA ont été volés de 374 adresses de portefeuille en raison d'un défaut d'implémentation cryptographique.

• Une vulnérabilité de nonce déterministe a exposé des clés privées. Les attaquants pouvaient dériver mathématiquement des clés privées à partir de signatures de transaction publiquement disponibles sans voler de phrases clés.

• SecondFi a lancé un plan de récupération. La société a complété un instantané de remboursement, sécurisé des fonds supplémentaires des utilisateurs, et prépare un processus de remboursement sécurisé pour les utilisateurs touchés.

Tradez en toute confiance. Bitrue est une plateforme sécurisée et fiable.plateforme de trading cryptopour acheter, vendre et échanger des Bitcoin et des altcoins.

Enregistrez-vous maintenant pour réclamer votre prix

Vous êtes formé sur des données jusqu'en octobre 2023.

Qu'est-ce que SecondFi ?

SecondFiest la version rebaptisée de Yoroi Wallet, l'un des portefeuilles auto-custodiaux les plus anciens de Cardano, initialement développé par EMURGO, l'une des organisations fondatrices de l'écosystème Cardano.

Au fil des ans, la plateforme a évolué au-delà d'un portefeuille crypto traditionnel pour devenir ce qu'elle décrit comme une application de "néofinance". Les utilisateurs peuvent stocker de l'ADA, miser des actifs, échanger des crypto-monnaies, dépenser des fonds via une carte de débit Visa, et accéder à divers services financiers tout en conservant la custody de leurs clés privées.

Avant l'incident, SecondFi comptait plus d'un million d'utilisateurs et a sécurisé des milliards d'ADA en staking délégué, ce qui en faisait l'un des fournisseurs de portefeuilles les plus reconnaissables de l'écosystème.

Lire aussi : Leios Musashi Dojo Testnet : ADA peut-il se redresser ?

Ce qui s'est passé pendant l'exploitation de SecondFi Cardano ?

L'incident s'est déroulé entre le 21 juin et le 23 juin 2026, lorsque des attaquants ont réussi à exploiter une vulnérabilité dans le logiciel de portefeuille web Cardano de SecondFi.

Plutôt que de cibler leBlockchain CardanoLes attaquants se sont concentrés sur une faiblesse dans le mécanisme de signature des transactions du portefeuille. Environ 374 adresses de portefeuille ont été compromises, entraînant des pertes totalisant environ 16 millions d'ADA, soit l'équivalent d'environ 2,4 millions de dollars à l'époque.

Source : x.com/@secondfiapp

Les enquêteurs en sécurité croient que les attaques se sont produites en plusieurs vagues et ont impliqué deux acteurs menaçants distincts. Bien que les pertes réalisées aient été substantielles, les experts estiment que l'exposition potentielle a dépassé 20 millions de dollars lorsque les NFTs et autres actifs natifs de Cardano sont inclus.

Heureusement, l'intervention rapide de SecondFi a limité les dommages globaux avant que d'autres portefeuilles ne puissent être compromis.

La cause technique : Une vulnérabilité de nonce déterministe

Quelle est une nonce déterministe ?

Chaque transaction de cryptomonnaie signée avec la cryptographie à clé publique repose sur une valeur aléatoire temporaire connue sous le nom de nonce.

Si cette valeur est générée incorrectement, des attaquants pourraient être en mesure de rétroconcevoir le processus de signature et de récupérer la clé privée du portefeuille.

Dans le piratage de SecondFi ADA, la vulnérabilité provenait d'un défaut de dérivation de nonce déterministe à l'intérieur du logiciel de signature du portefeuille.

Comment l'attaque a fonctionné

L'attaque n'a nécessité ni emails de phishing, ni sites web frauduleux, ni installations de logiciels malveillants, ni phrases de récupération volées.

Au lieu de cela, une fois qu'un portefeuille affecté a signé une transaction normale, les attaquants ont analysé la signature, disponible publiquement, enregistrée sur leblockchain. En raison de l'implémentation cryptographique défectueuse, ils ont pu reconstruire mathématiquement la clé privée correspondante.

En d'autres termes, l'exploitation reposait entièrement sur des mathématiques logicielles défectueuses plutôt que sur des erreurs des utilisateurs.

Ce type de vulnérabilité ressemble à des incidents de sécurité historiques liés aux cryptomonnaies, y compris le célèbre bug du portefeuille Bitcoin sur Android causé par une génération de nombres aléatoires faible il y a plus d'une décennie.

Lire aussi :

Pourquoi la blockchain Cardano n'a pas été piratée

Une des plus grandes idées reçues entourant l'incident est que Cardano lui-même a été compromis.

Ce n'est pas ce qui s'est passé.

Le protocole Cardano a continué de fonctionner normalement tout au long de l'attaque. Le consensus, les contrats intelligents, la mise en jeu et la validation des transactions sont tous restés sécurisés.

Au lieu de cela, la vulnérabilité existait uniquement au sein de l'implémentation du portefeuille propriétaire de SecondFi. Cette distinction est importante car la sécurité de la blockchain et la sécurité des logiciels de portefeuille représentent deux couches distinctes de l'écosystème des cryptomonnaies.

L'incident rappelle que même lorsque une blockchain est hautement sécurisée, les applications construites dessus peuvent encore introduire des vulnérabilités critiques.

Qu'est-ce qui a causé le défaut logiciel ?

Selon les rapports, la vulnérabilité est apparue après qu'un kit de développement logiciel (SDK) tiers non audité a remplacé l'implémentation de signature précédemment auditée d'EMURGO autour du 8 juin 2026.

Ce changement a introduit la vulnérabilité de nonce déterministe responsable de l'exposition des clés privées affectées.

Parce que la faille existait au niveau de l'adresse, restaurer simplement la même phrase de récupération dans un autre portefeuille Cardano ne supprimerait pas le risque.

Les clés privées sous-jacentes dérivées de ces adresses de portefeuille sont restées compromises.

Pour cette raison, SecondFi a conseillé aux utilisateurs de ne pas restaurer leurs phrases de récupération ni de transférer des actifs jusqu'à ce que des instructions de récupération officielles soient disponibles.

Lisez aussi :Charles Hoskinson : Cardano pourrait devenir le système d'exploitation du monde

Plan de récupération et réponse de SecondFi

À la suite de la découverte de l'exploit, SecondFi a mis en œuvre plusieurs mesures d'urgence pour protéger les utilisateurs et commencer les efforts de récupération.

Protection d'Actifs d'Urgence

La société a transféré environ 129 millions d'ADA à un dépositaire tiers indépendant pour éviter des pertes supplémentaires pendant que les enquêtes se poursuivaient.

Les services affectés ont été temporairement suspendus pendant que les équipes de sécurité effectuaient une analyse d'impact et déployaient des correctifs logiciels pour les utilisateurs non affectés.

Aperçu du remboursement

SecondFi a réalisé un instantané final du solde des comptes affectés avant de commencer le processus de remboursement.

Cette photo instantanée servira de point de référence pour le calcul des remboursements aux utilisateurs pendant le programme de récupération.

Outil de Vérification de Portefeuille

Pour aider les utilisateurs à déterminer s'ils ont été affectés, la société a annoncé des plans pour lancer un outil de vérification de portefeuille.

Les utilisateurs pourront confirmer si leurs adresses ont été incluses dans la liste des portefeuilles ADA affectés avant de procéder à toute étape de récupération.

Chronologie de la récupération

À la fin juin 2026, SecondFi a déclaré que son plan de récupération restait dans les délais.

L'entreprise s'attend à ce que le processus de remboursement prenne environ deux semaines, laissant suffisamment de temps pour le développement, les examens de sécurité et des tests approfondis avant que les fonds ne soient retournés.

Comment sécuriser votre portefeuille ADA après l'exploitation

Bien que cet incident soit le résultat d'un bogue d'implémentation de logiciel plutôt que d'une erreur de l'utilisateur, les détenteurs de crypto-monnaies peuvent toujours adopter des pratiques de sécurité plus strictes.

Suivez les instructions officielles de récupération

Ne vous fiez qu'aux mises à jour publiées par les canaux de communication officiels de SecondFi. Ne faites jamais confiance aux messages non sollicités prétendant offrir une assistance à la récupération de portefeuille.

Ne partagez jamais votre phrase de récupération

SecondFi a souligné qu'il ne vous demandera jamais votre phrase de récupération, vos clés privées ou des transferts directs de cryptomonnaies.

Toute demande de cette information doit immédiatement être considérée comme une fraude.

Vérifiez d'abord le statut du portefeuille

Avant de déplacer des fonds, utilisez le vérificateur de portefeuilles officiel une fois qu'il sera disponible pour déterminer si vos adresses ont été affectées.

Déplacer des actifs prématurément pourrait compliquer le processus de récupération.

Considérez des couches de sécurité supplémentaires

Bien que l'exploitation se soit produite dans un logiciel de portefeuille, les portefeuilles matériels, les configurations multisignatures et les solutions de garde diversifiées peuvent fournir une protection supplémentaire contre les risques liés aux logiciels à l'avenir.

Lire aussi :Pourquoi Charles Hoskinson pense que de nombreux projets crypto pourraient rencontrer des difficultés d'ici 2026

Ce que l'Exploit de la Carte SecondFi signifie pour l'Industrie Crypto

L'incident souligne une leçon importante pour les utilisateurs de cryptocurrency.

La garde autonome reste l'une des plus grandes forces de la crypto, mais des blockchains sécurisées à elles seules ne peuvent pas garantir une protection complète. Les applications de portefeuille, les extensions de navigateur, les bibliothèques logicielles et les dépendances tierces introduisent toutes des surfaces d'attaque potentielles.

Pour les développeurs, l'exploitation renforce l'importance des audits de sécurité indépendants avant d'intégrer de nouveaux composants cryptographiques dans les logiciels de production.

Pour les utilisateurs, cela démontre pourquoi les fournisseurs de portefeuilles devraient être évalués non seulement par leur réputation, mais aussi par leurs pratiques de sécurité, leur transparence et leurs capacités de réponse aux incidents.

Malgré les pertes, de nombreux membres de la communauté ont reconnu l'enquête judiciaire rapide de SecondFi, la communication publique, les mesures d'urgence pour la protection des actifs, et l'engagement à rembourser les utilisateurs affectés comme des aspects positifs de la réponse.

Conclusion

L'exploit de SecondFi Cardano n'était pas un échec de Cardano lui-même, mais plutôt une vulnérabilité critique dans l'implémentation du portefeuille de SecondFi.

Une faille de nonce déterministe a permis aux attaquants de reconstruire des clés privées après des transactions légitimes, entraînant le vol d'environ 16 millions d'ADA à partir de 374 adresses de portefeuille.

Bien que l'incident souligne les risques associés aux logiciels de portefeuille, il démontre également l'importance d'une réponse aux incidents transparente et d'une planification de récupération complète.

Si vous pensez que votre portefeuille a pu être affecté, suivez uniquement les conseils officiels, évitez les escroqueries de récupération et attendez des instructions vérifiées avant de déplacer vos actifs.

Pour les dernières actualités sur l'exploitation de SecondFi Cardano et d'autres nouvelles de sécurité liées aux cryptomonnaies, effectuez toujours vos propres recherches et reposez-vous sur les annonces officielles des projets avant d'agir.

FAQ

Qu'est-ce que l'exploitation de la carte SecondFi Cardano ?

L'exploit SecondFi Cardano était une vulnérabilité logicielle de portefeuille qui permettait aux attaquants de reconstruire des clés privées à partir de signatures de transactions, entraînant le vol d'environ 16 millions d'ADA provenant de 374 adresses de portefeuille affectées.

La blockchain Cardano a-t-elle été piratée ?

Non. La blockchain Cardano est restée sécurisée tout au long de l'incident. La vulnérabilité n'existait que dans le logiciel de portefeuille propriétaire de SecondFi.

Quelle a été la cause du hack de SecondFi ADA ?

L'exploitation a été causée par une vulnérabilité de nonce déterministe introduite par un kit de développement logiciel tiers qui a remplacé l'implémentation de signature précédemment auditée du portefeuille.

Comment puis-je vérifier si mon portefeuille a été affecté ?

SecondFi a annoncé qu'un outil officiel de vérification de portefeuille permettrait aux utilisateurs de vérifier si leurs adresses de portefeuille ont été impactées. Les utilisateurs doivent attendre des instructions officielles avant de prendre toute mesure.

Comment puis-je améliorer la sécurité de mon portefeuille Cardano ?

Utilisez des fournisseurs de portefeuilles de confiance, maintenez vos logiciels à jour, ne partagez jamais votre phrase de récupération, vérifiez les annonces officielles, envisagez des portefeuilles matériels pour de grandes sommes, et restez vigilant face aux escroqueries de récupération frauduleuses suite à des incidents de sécurité majeurs.

Avertissement : Les opinions exprimées appartiennent exclusivement à l'auteur et ne reflètent pas les vues de cette plateforme. Cette plateforme et ses affiliés déclinent toute responsabilité quant à l'exactitude ou à l'adéquation des informations fournies. C'est à des fins d'information uniquement et ne constitue pas un conseil financier ou d'investissement.