SecondFi, dompet Cardano yang diluncurkan pada April 2026 sebagai penerus Yoroi dari EMURGO, mengumumkan pada 22 Juli bahwa mereka akan menghentikan operasionalnya secara permanen setelah pelanggaran keamanan yang mengakibatkan pencurian 16,1 juta ADA dari 374 dompet pengguna. Aset yang dicuri bernilai sekitar 2,4 juta dolar AS pada saat insiden Juni. Pelanggaran berawal dari kelemahan kriptografis dalam pembaruan aplikasi Android yang dirilis pada 8 Juni, yang mengekspos kunci privat pengguna melalui tanda tangan transaksi yang terlihat di Cardano's public blockchain. EMURGO, salah satu dari tiga organisasi pendiri Cardano bersama Cardano Foundation dan Input Output Global, memastikan bahwa SecondFi tidak akan resume operations dan menyatakan akan berfokus sepenuhnya pada pemulihan aset bagi pengguna yang terdampak, meski tidak ada tenggat waktu penggantian yang disediakan.
Pembaruan Aplikasi Android Mengekspos Kunci Privat melalui Pembuatan Nonce yang Cacat
Kerentanan bersumber dari implementasi SecondFi terhadap skema tanda tangan digital extended Ed25519 Cardano. Standar protokol mengharuskan setiap tanda tangan transaksi bergantung pada nonce unik yang dihasilkan menggunakan data transaksi dan materi kunci rahasia yang disimpan di perangkat pengguna, sehingga tanda tangan tidak dapat mengungkap kunci privat yang mendasarinya. Namun, aplikasi Android SecondFi menghasilkan nonce hanya menggunakan informasi transaksi publik, dengan mengecualikan komponen rahasia yang diperlukan. Peneliti keamanan siber mengonfirmasi bahwa kesalahan implementasi ini memungkinkan siapa pun yang memantau blockchain Cardano untuk menghitung kunci privat pengguna secara langsung dari tanda tangan transaksi. Peneliti independen menunjukkan kerentanan tersebut dengan merekonstruksi kunci privat hanya dari catatan blockchain yang tersedia secara publik. Analis keamanan menyebut implementasi itu sebagai salah satu kegagalan kriptografi paling serius yang pernah terlihat pada dompet mata uang kripto produksi. Karena informasi yang dikompromikan tertanam dalam catatan blockchain permanen, EMURGO memperingatkan pengguna bahwa memulihkan recovery phrase yang terdampak ke dompet Cardano lain tidak akan menghilangkan risiko, sehingga pengguna harus sepenuhnya meninggalkan alamat dompet yang terkompromi dan membuat kunci baru sepenuhnya.
Penyerang Menguras 16,1 Juta ADA dalam Empat Kejadian Terpisah
Eksploitasi terjadi pada 21 Juni hingga 23 Juni melalui empat kejadian terpisah yang menguras dompet. Menurut EMURGO, tiga serangan dilakukan oleh aktor ancaman eksternal, sementara serangan keempat melibatkan transfer darurat yang diinisiasi oleh perusahaan itu sendiri. Selama intervensi tersebut, sekitar 129 juta ADA dipindahkan ke dompet kustodian pihak ketiga sebelum para penyerang dapat memperoleh akses. Meski demikian, 16,1 juta ADA tidak bisa diamankan tepat waktu. Perusahaan intelijen blockchain Groom Lake dilaporkan menyimpulkan bahwa penyerang utama menunjukkan karakteristik perilaku dan teknis yang konsisten dengan Lazarus Group milik Korea Utara, meskipun penyelidik belum secara resmi mengatribusikan serangan tersebut. Penyerang lain yang tidak terkait juga ditemukan menargetkan dompet berbeda pada periode yang sama.
Kerentanan Zilliqa Menyoroti Risiko Luas Kesalahan Implementasi Kriptografi
Pengumuman SecondFi bertepatan dengan pengungkapan kelemahan kriptografis serupa yang memengaruhi aplikasi dompet perangkat keras Ledger milik Zilliqa. Peneliti mengungkapkan bahwa kelemahan tersebut tidak terdeteksi sejak 2019 dan juga dapat memungkinkan rekonstruksi kunci privat setelah mengumpulkan beberapa tanda tangan blockchain. Meskipun mekanisme teknis berbeda, kedua kerentanan berasal dari pembuatan nonce yang cacat saat penandatanganan transaksi. Spesialis keamanan mengatakan insiden tersebut menunjukkan bahwa kesalahan pembuatan nonce tetap menjadi risiko signifikan yang bisa dieksploitasi secara aktif di perangkat lunak dompet blockchain. Pengungkapan bersamaan kerentanan yang strukturnya mirip pada SecondFi dan Zilliqa menunjukkan bahwa kesalahan implementasi kriptografi mungkin lebih luas daripada yang sebelumnya diakui di ekosistem blockchain. Penutupan SecondFi membawa implikasi lebih luas karena EMURGO adalah salah satu dari tiga organisasi pendiri Cardano. Dompet itu menggantikan Yoroi, yang melayani lebih dari satu juta pengguna selama hampir delapan tahun sebelum diubah mereknya menjadi SecondFi pada awal tahun ini.
EMURGO Mengembangkan Portal Pemulihan Berbasis Zero-Knowledge untuk Rilis Agustus
EMURGO menyatakan sedang mengembangkan zero-knowledge recovery portal berbasis bukti zero-knowledge, yang saat ini sedang menjalani audit oleh pihak ketiga, dengan perkiraan rilis pada Agustus. Alat migrasi dompet tambahan juga direncanakan untuk membantu pengguna yang tidak terdampak memindahkan ADA mereka ke dompet alternatif. Portal verifikasi akan memungkinkan pengguna menentukan apakah alamat dompet mereka termasuk dalam 374 yang dikompromikan. Perusahaan menekankan bahwa pengguna yang mengandalkan dompet perangkat keras Ledger atau Trezor untuk penandatanganan transaksi tidak terdampak karena kerentanan hanya ada di perangkat lunak Android SecondFi, bukan pada firmware dompet perangkat keras. EMURGO memastikan upayanya akan fokus secara eksklusif pada pemulihan aset bagi pengguna yang terdampak melalui tim pemulihan khusus, meski tidak ada tenggat waktu penggantian yang diumumkan.
FAQ
Apa yang menyebabkan pelanggaran keamanan SecondFi pada Juni?
Pelanggaran itu terjadi akibat kelemahan kriptografis pada pembaruan aplikasi Android SecondFi yang dirilis pada 8 Juni. Aplikasi tersebut membuat nonce tanda tangan transaksi hanya menggunakan informasi transaksi publik sambil mengecualikan materi kunci rahasia yang diperlukan, sehingga memungkinkan penyerang merekonstruksi kunci privat pengguna langsung dari data blockchain yang terlihat secara publik.
Berapa banyak mata uang kripto yang dicuri dari dompet SecondFi?
16,1 juta ADA dicuri dari 374 dompet pengguna antara 21 Juni dan 23 Juni. Aset yang dicuri bernilai sekitar 2,4 juta dolar AS pada saat insiden dan sekitar 2,8 juta dolar AS berdasarkan harga ADA per 22 Juli.
Kapan EMURGO akan merilis portal pemulihan untuk pengguna SecondFi yang terdampak?
EMURGO menyatakan zero-knowledge recovery portal berbasis bukti zero-knowledge saat ini sedang menjalani audit oleh pihak ketiga dengan perkiraan rilis pada Agustus. Perusahaan belum mengumumkan tenggat waktu penggantian spesifik untuk pengguna yang terdampak.
