SecondFi advierte a los propietarios de billeteras comprometidas que no retiren los tokens NIGHT, cuyas asignaciones están programadas para el 22 de septiembre. La razón es que el sistema Midnight requiere que los tokens se retiren a través de la dirección original y no admite otra. Las billeteras asociadas con estas asignaciones permanecen comprometidas para siempre, por lo que la empresa aconseja no tocarlas hasta que se resuelva el problema. SecondFi se ha puesto en contacto con Midnight Foundation, pero el sistema actual de rescate no permite transferir la asignación hasta que se exija. Las herramientas de migración y recuperación de SecondFi no cubren el requisito de NIGHT; las reglas son establecidas por Midnight Foundation, y allí deben dirigirse las preguntas.
El incidente ocurrió del 21 al 23 de junio: aproximadamente 16,1 millones de ADA, con un valor de alrededor de $2,6 millones, fueron robados de 374 billeteras. Una investigación encargada por EMURGO reveló un defecto criptográfico en la generación de firmas: un valor que debería depender de un secreto, en ciertas condiciones se calculaba a partir de datos públicos, lo que permitía extraer la clave privada de la blockchain de Cardano. A diferencia de una vulnerabilidad temporal, la exposición permanece vinculada a la dirección para siempre. El defecto ya ha sido corregido. El contratista forense Groom Lake encontró rastros de dos atacantes; la operación principal se describe como compleja y bien financiada, con indicadores de posible cruce con Lazarus Group. Después del ataque, SecondFi transfirió alrededor de 129 millones de ADA a un custodio independiente.
Midnight lanzó su mainnet en marzo como una red enfocada en la privacidad basada en zero-knowledge. El token NIGHT se distribuyó a través de Glacier Drop, y parte de los usuarios de SecondFi recibieron requisitos vinculados a direcciones comprometidas. En julio, EMURGO confirmó que la plataforma no reanudará operaciones. SecondFi pide no eliminar la aplicación y conservar las frases semilla, advierte sobre servicios de recuperación falsos y recuerda que nunca solicita claves privadas ni requiere la firma de transacciones para verificar direcciones.
Artículos relacionados
