762
2026-06-24
0分
SecondFi 金鑰漏洞遭駭：官方估 240 萬美元被盜
SecondFi 前身是 Yoroi，Cardano 生態最老牌的輕錢包之一，由三大創始實體之一的 EMURGO 開發，舊版 Yoroi App 會自動升級成 SecondFi。這類錢包把私鑰留在使用者端，本該比交易所安全，問題卻出在「自己生成金鑰」這個最底層環節：生成方式一旦有規律，私鑰就能被反推。
6 月 23 日 SecondFi 確認，原生 Cardano 網頁錢包的金鑰生成軟體有漏洞，攻擊者得以推算私鑰並轉走資產。官方初估約 240 萬美元被盜、178 個錢包受害，隨即關閉服務進入維護模式並對餘額快照。慢霧（SlowMist）創辦人 Cos 從鏈上資金流追查，認為實際缺口恐逾 2,000 萬美元，遠超官方數字。SecondFi 說正與 IOG、Cardano 基金會、Intersect、SundaeSwap 協調善後，賠償方案待技術審查後公布。
- SecondFi：「我們已隔離安全事件的根本原因，問題僅限於原生 Cardano 網頁錢包生成軟體。團隊已完成鏈上分析確定影響範圍，正與一家領先的區塊鏈安全公司完成獨立技術審查以驗證發現。」
- Minswap Labs：「給所有 SecondFi 使用者的安全通知，請立即行動。據報漏洞可能正在洩露錢包擴充功能的種子短語。先備份種子、移除擴充功能，把資金轉到新錢包，可以的話改用硬體錢包。」
- Sundae Labs：「SecondFi（前身為 Yoroi）已被入侵。建議停用 Chrome 擴充功能、避免簽署交易，並在 Eternl 或 Lace 等可信錢包重建種子、全數轉出資金。」
相關脈絡 · 1 件
SecondFi 是 EMURGO 旗下 Cardano 錢包 Yoroi 的接班者，Yoroi 上線八年、服務近百萬使用者。6 月下旬 SecondFi 被爆出交易簽章軟體有漏洞，讓攻擊者能直接從公開的鏈上資料還原私鑰，374 個錢包因此被清空。事發後外界一度期待修補後恢復服務。
7 月 22 日，EMURGO 宣布 SecondFi 即使完成稽核也不會恢復正常營運，只保留資產救援功能。這次共約 1,610 萬顆 ADA、約 240 萬美元被盜，另有約 1.29 億顆 ADA 靠緊急處置保住。受託調查的 Groom Lake 指出主嫌手法精密，部分跡象指向北韓 Lazarus 集團，但尚未確認。官方將在 8 月初釋出錢包匯出工具，稍後再開放救援入口。
- CoinDeskSecondFi 在 240 萬美元 ADA 錢包遭竊後將關閉
- The DefiantEMURGO 表示遭駭的 Cardano 錢包 SecondFi 不會重啟
- SecondFi（官方帳號）：「6 月 21 至 23 日期間 SecondFi 發生安全事件，約 1,610 萬顆 ADA（約 260 萬美元）從 374 個錢包被竊，EMURGO 已聘請獨立鑑識與區塊鏈情報公司調查。」
- Andrew Westberg：「這個漏洞源自 XDEFI/CTRL 錢包，後來變成 SecondFi，再把 Yoroi 使用者遷移過來，它本來就是支援多鏈的跨鏈錢包。要把責任推給北韓，得先把整條路徑解釋清楚。」
- Holger：「還記得那些挺 SecondFi 的人到處說『沒事，他們跟白帽駭客談好了，冷靜點別把資產全部轉走』嗎？」