EMURGO confirma ataque à carteira SecondFi da Cardano e diz que serviço não voltará a operar

A EMURGO, uma das entidades fundadoras do ecossistema Cardano e responsável pelo SecondFi, informou nesta segunda-feira que a carteira atacada não retomará as operações normais mesmo após a conclusão das auditorias de segurança em andamento. A empresa orientou todos os usuários a migrarem para outra solução por meio do processo oficial de recuperação. "Embora acreditemos que usuários não afetados permaneçam seguros, o SecondFi não retomará as operações normais, mesmo após a conclusão das auditorias", disse a EMURGO em publicação em sua conta oficial no X. A partir de agora, segundo a companhia, sua atuação no SecondFi ficará restrita a "uma equipe dedicada de recuperação de ativos, com a única missão de devolver ativos aos usuários afetados". O que aconteceu O SecondFi, rebranding da carteira Yoroi, é descrito pela EMURGO como "o maior provedor de carteira da Cardano". O serviço foi atingido por quatro eventos distintos de drenagem de carteiras, identificados em 22 de junho, que comprometeram 374 endereços e cerca de 16 milhões de ADA — aproximadamente US$ 2,4 milhões na época —, de acordo com o relatório de incidente publicado pela própria EMURGO em 25 de junho. A equipe também afirmou ter protegido separadamente cerca de 129 milhões de ADA por meio de ações emergenciais de contenção. A EMURGO ressaltou que as carteiras comprometidas devem ser tratadas como permanentemente expostas no nível de endereço e de chave privada, o que significa que restaurar a seed phrase afetada em outra carteira não elimina o risco. Plano de recuperação A EMURGO disse ter contratado múltiplas empresas independentes para revisar o incidente e o código, e que já submeteu um patch para corrigir a vulnerabilidade identificada, embora as investigações sigam em andamento. A empresa planeja lançar ainda nesta semana um verificador de status de carteira em ambiente de quarentena, sujeito à aprovação das lojas de aplicativos. Na sequência, pretende disponibilizar uma ferramenta de exportação segura para migração dos fundos para uma hardware wallet ou plataforma alternativa, além de realizar um workshop presencial de migração em Tóquio. A companhia também informou que está criando um fundo dedicado de restituição integrado a um sistema de recuperação on-chain, que ainda precisa passar por auditoria externa antes que os ativos dos usuários afetados possam ser devolvidos. A EMURGO afirmou que publicará um relato completo sobre quem foi o responsável e os motivos, assim que os relatórios do incidente e as revisões de código forem finalizados.