SecondFi, le portefeuille Cardano lancé en avril 2026 en tant que successeur d’EMURGO à la plateforme Yoroi, a annoncé le 22 juillet qu’il cessera définitivement ses opérations après une faille de sécurité ayant conduit au vol de 16,1 millions d’ADA depuis 374 portefeuilles utilisateurs. Les actifs dérobés étaient évalués à environ 2,4 millions de dollars au moment de l’incident de juin. La compromission provient d’une faiblesse cryptographique dans une mise à jour d’une application Android publiée le 8 juin, qui a exposé les clés privées des utilisateurs via des signatures de transaction visibles sur la blockchain publique de Cardano. EMURGO, l’une des trois organisations fondatrices de Cardano aux côtés de la Cardano Foundation et d’Input Output Global, a confirmé que SecondFi ne reprendra pas ses opérations et a indiqué que son attention se déplacera exclusivement vers la récupération d’actifs pour les utilisateurs concernés, sans toutefois fournir de calendrier de remboursement.
Une mise à jour de l’app Android a exposé des clés privées via une génération de nonce défectueuse
La vulnérabilité est née de l’implémentation par SecondFi du schéma de signature numérique étendu Ed25519 de Cardano. Le protocole standard exige que chaque signature de transaction s’appuie sur un nonce unique généré à partir à la fois des données de transaction et du matériel de clé secrète stocké sur l’appareil de l’utilisateur, afin de garantir que les signatures ne révèlent pas la clé privée sous-jacente. L’application Android de SecondFi a toutefois généré le nonce en n’utilisant que les informations publiques de transaction, en excluant la composante secrète requise. Des chercheurs en cybersécurité ont confirmé que cette erreur d’implémentation permettait à quiconque observant la blockchain de Cardano de calculer directement les clés privées des utilisateurs à partir des signatures de transaction. Des chercheurs indépendants ont démontré la vulnérabilité en reconstruisant des clés privées uniquement à partir des enregistrements de blockchain publiquement accessibles. Des analystes sécurité ont indiqué que l’implémentation constituait l’un des manquements cryptographiques les plus graves observés dans un portefeuille de cryptomonnaie en production. Comme l’information compromise est intégrée dans des enregistrements permanents de la blockchain, EMURGO a averti les utilisateurs qu’une restauration d’une phrase de récupération affectée dans un autre portefeuille Cardano ne supprimerait pas le risque, obligeant les utilisateurs à abandonner totalement les adresses de portefeuille compromises et à générer entièrement de nouvelles clés.
Les attaquants ont vidé 16,1 millions d’ADA lors de quatre événements distincts
L’exploitation s’est produite entre le 21 juin et le 23 juin via quatre événements distincts de vidage de portefeuilles. D’après EMURGO, trois attaques ont été menées par des acteurs externes, tandis que la quatrième impliquait un transfert d’urgence lancé par l’entreprise elle-même. Lors de cette intervention, environ 129 millions d’ADA ont été transférés vers un portefeuille matériellement détenu par un tiers avant que les attaquants puissent accéder. Néanmoins, 16,1 millions d’ADA n’ont pas pu être sécurisés à temps. La société d’intelligence blockchain Groom Lake aurait conclu que le principal attaquant présentait des caractéristiques comportementales et techniques compatibles avec le groupe Lazarus nord-coréen, bien que les enquêteurs n’aient pas attribué officiellement l’attaque. Un autre attaquant sans lien identifié a également été retrouvé comme ayant ciblé des portefeuilles différents pendant la même période.
La vulnérabilité de Zilliqa met en avant des risques répandus d’implémentation cryptographique
L’annonce de SecondFi a coïncidé avec la divulgation d’une faiblesse cryptographique similaire affectant l’application de portefeuille matériel Ledger de Zilliqa. Les chercheurs ont révélé que la faille était restée non détectée depuis 2019 et qu’elle pouvait aussi permettre la reconstruction de clés privées après avoir collecté plusieurs signatures de blockchain. Bien que les mécanismes techniques diffèrent, les deux vulnérabilités proviennent d’une génération de nonce défectueuse lors de la signature des transactions. Des spécialistes sécurité ont indiqué que ces incidents montrent que les erreurs de génération de nonce demeurent un risque important, activement exploitable, dans les logiciels de portefeuille blockchain. La divulgation simultanée de vulnérabilités structurellement similaires dans SecondFi et Zilliqa suggère que des défauts d’implémentation cryptographique pourraient être plus répandus qu’on ne le pensait dans l’écosystème blockchain. La fermeture de SecondFi a des implications plus larges, car EMURGO fait partie des trois organisations fondatrices de Cardano. Le portefeuille avait remplacé Yoroi, qui a servi plus d’un million d’utilisateurs sur près de huit ans avant d’être renommé SecondFi plus tôt cette année.
EMURGO développe un portail de récupération à preuve à connaissance zéro pour une sortie en août
EMURGO a déclaré qu’il développe un portail de récupération basé sur des preuves à connaissance zéro, actuellement en cours d’audits par des tiers, avec une sortie attendue en août. D’autres outils de migration de portefeuille sont également prévus pour aider les utilisateurs non touchés à transférer leurs ADA vers des portefeuilles alternatifs. Un portail de vérification permettra aux utilisateurs de déterminer si leurs adresses de portefeuille figuraient parmi les 374 portefeuilles compromis. L’entreprise a souligné que les utilisateurs qui s’appuyaient sur des portefeuilles matériels Ledger ou Trezor pour la signature des transactions n’étaient pas touchés, car la vulnérabilité existait uniquement dans le logiciel Android de SecondFi, et non dans le micrologiciel du portefeuille matériel. EMURGO a confirmé que ses efforts se concentreront exclusivement sur la récupération des actifs des utilisateurs affectés via une équipe de récupération dédiée, bien qu’aucun calendrier de remboursement n’ait été annoncé.
FAQ
Qu’est-ce qui a causé la faille de sécurité de SecondFi en juin ?
La faille résulte d’un défaut cryptographique dans la mise à jour de l’application Android de SecondFi publiée le 8 juin. L’app générait des nonces de signature de transaction en n’utilisant que les informations publiques de transaction, tout en excluant le matériel de clé secrète requis, permettant aux attaquants de reconstruire directement les clés privées des utilisateurs à partir de données de blockchain publiquement visibles.
Combien de cryptomonnaie a été volée dans les portefeuilles SecondFi ?
16,1 millions d’ADA ont été volés depuis 374 portefeuilles utilisateurs entre le 21 juin et le 23 juin. Les actifs dérobés étaient évalués à environ 2,4 millions de dollars au moment de l’incident et à environ 2,8 millions de dollars d’après les prix de l’ADA au 22 juillet.
Quand EMURGO publiera-t-il le portail de récupération pour les utilisateurs de SecondFi concernés ?
EMURGO a déclaré que le portail de récupération basé sur des preuves à connaissance zéro est actuellement en cours d’audits par des tiers, avec une sortie attendue en août. L’entreprise n’a pas annoncé de calendrier précis de remboursement pour les utilisateurs concernés.
