SecondFi ने 374 Cardano पते पर हमले के लिए दोषी ठहराया

SecondFi का कहना है कि इसके Cardano वेब वॉलेट की कुंजी-निर्माण और लेनदेन-हस्ताक्षर प्रवाह में एक पते-स्तरीय दोष ने हमलावरों को 374 पतों से धन निकालने की अनुमति दी, जिसमें अनुमानित ~16 मिलियन ADA प्रभावित हुए। प्लेटफ़ॉर्म का कहना है कि उसने आपातकालीन उपायों के माध्यम से लगभग 129 मिलियन ADA सुरक्षित किए हैं और उन फंडों को उपयोगकर्ता सत्यापन की प्रतीक्षा में एक स्वतंत्र तीसरे पक्ष के संरक्षक को स्थानांतरित कर रहा है।

मुख्य बिंदु

• लगभग 16 मिलियनADA(लगभग $2.4 मिलियन) का अनुमान 374 पतों में प्रभावित हुआ।
• आपातकालीन उपायों ने लगभग 129 मिलियन ADA सुरक्षित किए हैं जिन्हें SecondFi का कहना है कि सत्यापित प्रभावित उपयोगकर्ताओं के लिए एक स्वतंत्र तीसरे पक्ष के संरक्षक द्वारा रखा जाएगा।
• SecondFi ने उल्लंघन को अपने Cardano वेब वॉलेट जनरेशन सॉफ़्टवेयर में एक कमजोरियों से जोड़ा, जिसमें एकपता-स्तरीय मुद्दे का वर्णन किया गया है जो लेनदेन हस्ताक्षर के दौरान उपयोगकर्ताओं को प्रभावित करता है।
• Immunefi के CEO मिशेल अमादोर ने कहा कि वॉलेट सॉफ़्टवेयर नेनिजी कुंजीयह उत्पन्न हुआ, जबकि यह जोर देकर कहा गया कि कार्डानो ब्लॉकचेन स्वयं सुरक्षित रहा।

SecondFi हमले: 374 पते प्रभावित, प्लेटफ़ॉर्म का अनुमान ~16M ADA प्रभावित

SecondFi का कहना है कि हमलावरों ने उसके कार्डानो-आधारित वॉलेट सॉफ़्टवेयर से संबंधित एक कमजोरियों का फायदा उठाकर उपयोगकर्ता पतों से धन निकाल लिया। प्लेटफ़ॉर्म का अनुमान, जो मंगलवार को 24 जून के प्रकाशन के सापेक्ष प्रदान किया गया, लगभग 16 मिलियन ADA, या लगभग $2.4 मिलियन, 374 पतों में प्रभाव डालने का है।

बाजार की व्याख्या के लिए दो बातें महत्वपूर्ण हैं। पहली, दायरा पते के स्तर पर व्यक्त किया जा रहा है, न कि एक श्रृंखला-व्यापी घटना के रूप में। दूसरी, संख्या स्पष्ट रूप से एक अनुमान है, जो संशोधन के लिए जगह छोड़ती है जब जांचकर्ता ऑन-चेन प्रवाह को उपयोगकर्ता रिपोर्ट और आंतरिक लॉग के साथ मिलाते हैं।

SecondFi अपने आप को स्व-निगरानीके रूप में वर्णित करता है, जिसका अर्थ है कि उपयोगकर्ता अपनी निजी कुंजी और पुनर्प्राप्ति वाक्यांश पर नियंत्रण रखते हैं न कि धन की निगरानी के लिए एक एक्सचेंज पर निर्भर करते हैं। यह डिज़ाइन विकल्प ऐसे घटनाओं में एक दोधारी तलवार है। यह प्लेटफ़ॉर्म के बैलेंस-शीट संक्रामकता को कम करता है, लेकिन यह कुंजी-निर्माण और हस्ताक्षर पथ में जोखिम को भी केंद्रित करता है। जब वह पथ टूटता है, तो विफलता का तरीका उपयोगकर्ता-नियंत्रित पतों से सीधा नुकसान होता है।

आपातकालीन निगरानी योजना: ~129M ADA सुरक्षित और तीसरे पक्ष के धारक को स्थानांतरित किया गया

SecondFi का कहना है कि उसने आपातकालीन उपायों को सक्रिय किया जिसने लगभग 129 मिलियन ADA को सुरक्षित किया और ये धन एक स्वतंत्र तीसरे पक्ष के निगरानीकर्ता को स्थानांतरित किए जा रहे हैं। घोषित इरादा है किसंपत्तियाँप्रभावित उपयोगकर्ताओं के लिए सत्यापन लंबित।

यह घटना प्रबंधन में एक महत्वपूर्ण मोड़ है। यह आकस्मिक ट्रायज की तरह कम और नियंत्रित दावे प्रक्रिया की तरह अधिक पढ़ता है। डेस्क के शब्दों में, यह उन उपयोगकर्ताओं से तत्काल बिक्री दबाव के प्रतिक्रियाओं को कम कर सकता है जिनके पास अभी भी जोखिम में धन है, क्योंकि प्रतिक्रिया स्पष्ट रूप से संपत्तियों को सुरक्षित करने और सत्यापन के माध्यम से पहुँच को नियंत्रित करने के बारे में है।

लेकिन यह एक नई अनिश्चितता वेक्टर भी पेश करता है। संरक्षक का नाम नहीं दिया गया है, और सत्यापन नियम और समयसीमा अभी सार्वजनिक नहीं हैं। यह महत्वपूर्ण है क्योंकि "स्वतंत्र तीसरे पक्ष का संरक्षक" एक व्यापक लेबल है। ADA भावना पर नज़र रखने वाले व्यापारियों के लिए, मुख्य प्रश्न यह है कि क्या यह प्रक्रिया तेज़ और पारदर्शी है ताकि नए शीर्षकों, उपयोगकर्ता भ्रम और द्वितीयक हानियों की निरंतर बूँद को रोक सके।

दूसरा संरचनात्मक बिंदु हिरासत जोखिम है। संपत्तियों को एक संरक्षक के पास स्थानांतरित करना समझौता किए गए वॉलेट से आगे की ऑन-चेन निकासी के अवसर को कम कर सकता है, लेकिन यह तकनीकी शोषण जोखिम को प्रतिपक्ष और प्रक्रिया जोखिम के साथ बदल देता है जब तक कि संरक्षक की पहचान, नियंत्रण और दावे के मानदंड स्पष्ट नहीं हो जाते।

अब तक की मूल कारण: वेब वॉलेट निर्माण और लेनदेन हस्ताक्षर में पता-स्तरीय समस्या

SecondFi का कहना है कि उसने शोषण के मूल कारण की पहचान की है और कार्डानो पारिस्थितिकी तंत्र प्लेटफार्मों और ब्लॉकचेन जांचकर्ताओं के साथ संलग्न हो रहा है। कंपनी इस उल्लंघन को अपने कार्डानो वेब वॉलेट निर्माण सॉफ़्टवेयर में एक कमजोर बिंदु के लिए जिम्मेदार ठहराती है, जिसका मूल कारण एक "पता-स्तरीय समस्या" है जो उपयोगकर्ताओं को तब प्रभावित करती है जब वे लेनदेन पर हस्ताक्षर करते हैं।

यह वाक्यांश बहुत काम कर रहा है। इस संदर्भ में "पता-स्तरीय" उस दोष की ओर इशारा करता है जो वॉलेट पते और कुंजियों के निर्माण या हस्ताक्षर के दौरान उपयोग से संबंधित है। SecondFi ने प्रकाशन के समय तक एक व्यापक पोस्ट-मॉर्टम जारी नहीं किया है, इसलिए बाजार एक दिशात्मक निदान के साथ कार्य कर रहा है न कि एक पूर्ण तकनीकी कथा के साथ।

सुरक्षा फर्म Immunefi के सीईओ मिशेल अमाडोर ने इसे अधिक स्पष्ट रूप से कहा: "SecondFi का वॉलेट सॉफ़्टवेयर ने जो निजी कुंजियाँ उत्पन्न कीं, उन्हें उजागर किया," और उन्होंने यह भी जोड़ा कि जबकि ब्लॉकचेन सुरक्षित रहा, कुंजी-निर्माण कोड वह "भाग है जिसे कोई नहीं"ऑडिट करता है।“एक अनुबंध की तरह।” उन्होंने यह भी कहा कि हमलावरों ने क्रिप्टो कुंजी बनाने या स्टोर करने वाली अवसंरचना की ओर ध्यान केंद्रित करना शुरू कर दिया है, न कि ब्लॉकचेन प्रोटोकॉल की ओर।

यहां जो बात स्पष्ट है, वह प्लेटफॉर्म के फ्रेमिंग और एक बाहरी सुरक्षा आवाज के बीच का संरेखण है। दोनों कार्डानो प्रोटोकॉल के समझौते से दूर और वॉलेट अवसंरचना में कुंजी प्रबंधन की विफलता की ओर इशारा करते हैं। यह भेदभाव शैक्षणिक नहीं है। चेन-स्तरीय विफलताएं पारिस्थितिकी तंत्र में प्रणालीगत जोखिम को फिर से मूल्यांकित करने की प्रवृत्ति रखती हैं। वॉलेट-स्तरीय विफलताएं विशिष्ट सॉफ़्टवेयर स्टैक्स में विश्वास को फिर से मूल्यांकित करती हैं, और जब ब्रांडिंग और पारिस्थितिकी तंत्र के रिश्ते स्पष्ट नहीं होते हैं तो वे व्यापक भावना में भी फैल सकती हैं।

उपयोगकर्ता सुधार पर विवाद: 'बीज वाक्यांशों को पुनर्स्थापित न करें' बनाम सामुदायिक प्रवास कॉल

सेकंडफाई का उपयोगकर्ता मार्गदर्शन असामान्य रूप से सख्त है। प्लेटफॉर्म ने चेतावनी दी: “किसी अन्य प्लेटफॉर्म या वॉलेट में पुनर्प्राप्ति जोखिम को कम नहीं करती,” और उपयोगकर्ताओं को सलाह दी कि वे अपने पुनर्प्राप्ति वाक्यांशों को नए कार्डानो वॉलेट में पुनर्स्थापित न करें।

एक पुनर्प्राप्ति वाक्यांश, या बीज वाक्यांश, वह शब्दों का सेट है जो एक वॉलेट की निजी कुंजियों को फिर से बनाने और फंड तक पहुंच बहाल करने में मदद करता है। यदि शोषण पथ में निजी कुंजी का खुलासा शामिल था, तो उसी बीज को नए वॉलेट इंटरफेस में पुनर्स्थापित करना अंतर्निहित रहस्य को नहीं बदलता है। यह समान समझौता की गई कुंजियों को फिर से बना सकता है।

एक ही समय में, कुछ सामुदायिक सदस्यों ने प्रभावित वॉलेट को माइग्रेट करने और फंड को नए बनाए गए पते पर स्थानांतरित करने के लिए उपयोगकर्ताओं को प्रेरित किया। यह संघर्ष निकट-अवधि का प्रमुख जोखिम है। जब सुधार सलाह भिन्न होती है, तो द्वितीयक हानियों की संभावना बढ़ जाती है, विशेष रूप से उन उपयोगकर्ताओं के लिए जो बिना किसी निश्चित, तकनीकी रूप से सुरक्षित मार्ग के जल्दी कार्रवाई करते हैं।

एक पारिस्थितिकी तंत्र स्थिति परत भी है। सेकंडफाई को कार्डानो पर निर्मित एक स्व-निगरानी प्लेटफॉर्म के रूप में वर्णित किया गया है, जिसने अप्रैल 2026 में योरॉय वॉलेट से पुनः ब्रांडिंग की। योरॉय को एमुर्गो द्वारा विकसित किया गया था, जो खुद को कार्डानो का “लाभकारी शाखा” बताता है, और यह कार्डानो के लिए पहला ओपन-सोर्स लाइट वॉलेट के रूप में लॉन्च हुआ।

कार्डानो के संस्थापक चार्ल्स होस्किन्सन ने सार्वजनिक रूप से इनपुट आउटपुट ग्लोबल (IOG) को इस घटना से दूर कर दिया, यह कहते हुए कि सेकंडफाई IOG का उत्पाद नहीं है और वॉलेट और IOG के बीच “कोई स्वामित्व, नियंत्रण या व्यावसायिक संबंध” नहीं है। मंगलवार को X पर पोस्ट किए गए एक वीडियो में, उन्होंने जोर देकर कहा कि IOG “एमुर्गो नहीं है,” और कहा, “हमने कोड नहीं लिखा और हम इससे जुड़े नहीं हैं।” उन्होंने यह भी कहा कि IOG की घटना प्रतिक्रिया टीम सोमवार से सेकंडफाई के संपर्क में थी और सेकंडफाई ने एक स्वतंत्र सुरक्षा ऑडिट का अनुरोध किया।

आगे का रास्ता स्पष्ट है भले ही विवरण स्पष्ट न हों। व्यापारियों को देखना चाहिए कि क्या SecondFi ~16 मिलियन ADA के अनुमान और 374-पते की संख्या को सत्यापन और जांचकर्ता समीक्षा के बाद संशोधित करता है, स्वतंत्र कस्टोडियन कौन है और ~129 मिलियन ADA की सुरक्षा के लिए दावों को कैसे संसाधित किया जाएगा, और क्या एक व्यापक पोस्ट-मॉर्टम "पते-स्तरीय समस्या" की कार्यप्रणाली को स्पष्ट करता है और कौन से उपयोगकर्ता क्रियाएँ निश्चित रूप से सुरक्षित हैं। पुनर्प्राप्ति वाक्यांशों के मुकाबले प्रवासन पर कोई भी अद्यतन आधिकारिक मार्गदर्शन, विशेष रूप से यदि अन्य कार्डानो पारिस्थितिकी तंत्र प्लेटफार्मों ने SecondFi के निर्देशों को प्रतिध्वनित या विरोधाभास किया है, यह तय करेगा कि यह कहानी कितनी जल्दी समाप्त होती है।

यह क्यों कुंजी-प्रबंधन जोखिम के रूप में पढ़ा जाता है, कार्डानो प्रोटोकॉल विफलता नहीं

मैं इसे एक कुंजी-प्रबंधन घटना के रूप में मान रहा हूँ जब तक कि अन्यथा साबित न हो जाए, और हाथ में मौजूद सबूत उस ढांचे का समर्थन करते हैं। SecondFi की अपनी जिम्मेदारी इसके वेब वॉलेट जनरेशन सॉफ़्टवेयर और साइनिंग के दौरान एक पते-स्तरीय समस्या की है। अमादोर का विवरण और भी अधिक सीधा है, कहता है कि वॉलेट सॉफ़्टवेयर ने जो निजी कुंजी उत्पन्न की, उसे उजागर किया, जबकि यह भी कहा कि ब्लॉकचेन सुरक्षित रहा।

यह महत्वपूर्ण है क्योंकि व्यापारी विभिन्न प्रकार के जोखिमों को अलग-अलग मूल्य देते हैं। एक प्रोटोकॉल विफलता प्रणालीगत होती है। यह श्रृंखला के संपत्तियों और अनुप्रयोगों में तरलता को प्रभावित करती है क्योंकि यह अंतिमता और सुरक्षा के अनुमानों पर सवाल उठाती है। एक वॉलेट विफलता संकीर्ण होती है, लेकिन यदि यह उपयोगकर्ता की उड़ान, प्रतिष्ठा का फैलाव, या अनिश्चितता की लंबी बूंद को ट्रिगर करती है तो यह अभी भी अपने वजन से अधिक प्रभाव डाल सकती है।

दूसरा क्रम प्रभाव जिसे मैं देख रहा हूँ वह सुरक्षित ~129 मिलियन ADA के चारों ओर प्रक्रिया जोखिम है। SecondFi का स्वतंत्र कस्टोडियन के पास फंड स्थानांतरित करना सुझाव देता है कि प्रतिक्रिया "खून बहना रोकें" से "दावों का निर्णय लें" में परिवर्तित हो रही है। यदि प्रभावित उपयोगकर्ता मानते हैं कि फंड सुरक्षित हैं तो यह तत्काल मजबूर बिक्री को कम कर सकता है। लेकिन यह एक नई निर्भरता भी बनाता है: कस्टोडियन की पहचान, सत्यापन नियम, और समयरेखा। जब तक ये स्पष्ट नहीं होते, बाजार को संचालन में रुकावट और संभावित विवादों के लिए छूट देनी होगी।

परिदृश्य एक साफ containment है। कस्टोडियन की पहचान की गई है, सत्यापन प्रक्रिया प्रकाशित की गई है, और प्रभावित अनुमान ~16 मिलियन ADA के करीब रहता है जिसमें 374 पते के अलावा सीमित दायरा है। पुष्टि के बिंदु सीधे हैं: एक नामित कस्टोडियन, एक स्पष्ट दावे का कार्यप्रवाह, और एक पोस्ट-मॉर्टम जो पते-स्तरीय समस्या को विशिष्ट असुरक्षित क्रियाओं से जोड़ता है।

परिदृश्य दो प्रोटोकॉल के प्रभावों के बिना दायरे का विस्तार है। अनुमान तब बढ़ता है जब जांचकर्ता अतिरिक्त प्रभावित पते या प्रवाह को समेटते हैं, लेकिन जड़ कारण वॉलेट-साइड कुंजी का उजागर होना रहता है। इससे "कार्डानो सुरक्षित है" की कहानी बरकरार रहेगी जबकि शीर्षक की अवधि बढ़ेगी और समान वॉलेट स्टैक्स से उपयोगकर्ता-प्रेरित जोखिम कम करने की संभावना बढ़ेगी।

परिदृश्य तीन सुधारात्मक भ्रम है जो द्वितीयक हानि में बदल जाता है। यदि आधिकारिक मार्गदर्शन विवादित रहता है और उपयोगकर्ता वाक्यांशों को पुनर्स्थापित या गलत तरीके से प्रवासित करते रहते हैं, तो यह घटना नए हमलों की तरह दिखने वाले फॉलो-ऑन ड्रेनों का निर्माण कर सकती है, भले ही वे केवल उसी कुंजी के उजागर होने के विलंबित परिणाम हों। "संविधान कुंजी-प्रबंधन विफलता" सिद्धांत के लिए अमान्यकरण बिंदु यह होगा कि कार्डानो प्रोटोकॉल स्वयं से समझौता किया गया था, जो यहां प्रदान किए गए तथ्यों द्वारा समर्थित नहीं है।

मेरा आधार पढ़ना है कि ADA की श्रृंखला-स्तरीय जोखिम प्रीमियम को केवल इससे पुनर्मूल्यांकन नहीं किया जाना चाहिए, लेकिन वॉलेट और अवसंरचना पर विश्वास अभी भी भावना को प्रभावित कर सकता है। यदि पोस्ट-मॉर्टम और कस्टोडियन प्रक्रिया दोनों यह पुष्टि करते हैं कि विफलता वॉलेट सॉफ़्टवेयर में निजी कुंजी का उजागर होना था, न कि कार्डानो प्रोटोकॉल का टूटना, तो सिद्धांत की पुष्टि होती है।

स्रोत

• सेकंडफाई
• इम्यूनफाई
• चार्ल्स हॉस्किन्सन