Este artigo foi publicado originalmente no Deythere.
Para centenas de usuários da Cardano que se viram impotentes e presos no recente hack da SecondFi, o primeiro cronograma real de recuperação finalmente chegou.
A EMURGO, uma das principais entidades fundadoras por trás da Cardano e a empresa responsável pela SecondFi, informou que concluiu suas investigações forenses e identificou um caminho a seguir para os usuários afetados.
De acordo com um comunicado do CEO Phillip Pon, a empresa espera que o processo de recuperação leve cerca de duas semanas, com a primeira semana sendo dedicada à construção da ferramenta para ajudar os usuários a recuperarem seus ativos, e a segunda semana focada em testes rigorosos e verificações de segurança para garantir que tudo esteja protegido antes que qualquer ativo dos usuários seja devolvido.
Como Aconteceu o Hack da SecondFi
Ao contrário dos tipos típicos de explorações que visam contratos inteligentes ou pontes, este hack da SecondFi atingiu o cerne do processo de criação de carteiras.
O hack da SecondFi drenou cerca de 16 milhões de ADA de 374 carteiras em um período de apenas dois dias (21 e 22 de junho), deixando os usuários com um grave problema nas mãos.
Embora a estimativa atual da EMURGO aponte perdas confirmadas em cerca de US$ 2,4 milhões, vários especialistas em segurança acreditam que a exposição total possa estar mais próxima de vinte milhões de dólares quando se consideram todos os outros ativos impactados, como tokens e NFTs, além de outras carteiras que foram comprometidas.
Rastreando a violação até a sua origem, os investigadores descobriram que a culpa foi de uma falha no próprio software proprietário da SecondFi. Uma vulnerabilidade que permitia aos hackers reconstruírem chaves privadas a partir de dados públicos da blockchain após os usuários já terem assinado as transações. Os detalhes do hack são os seguintes:
Um total de 4 episódios de drenagem de carteiras foram detectados durante o período do ataque.
Três deles foram o resultado de tentativas de invasão externas.
O 4º episódio foi uma operação de emergência conduzida pela própria plataforma para proteger os fundos dos usuários antes que ocorressem mais roubos.
Para salvar os usuários de perdas ainda maiores, o 4º episódio moveu 129 milhões de ADA para uma empresa de custódia terceirizada para fins de segurança.
A escala desse incidente espalhou-se imediatamente por toda a comunidade Cardano. O motivo disso foi simplesmente o fato de a SecondFi ter evoluído a partir da Yoroi, uma das carteiras mais populares da Cardano, e o reposicionamento para uma plataforma financeira completa ter acontecido apenas algumas semanas antes do hack.
Plano de Recuperação da EMURGO Já Está Sendo Preparado
A empresa afirma que várias etapas importantes já foram concluídas.
Os saldos das carteiras foram checados e verificados, um instantâneo dos saldos está agora registrado e os ativos afetados já foram claramente identificados. Esse instantâneo servirá como base para o eventual reembolso e restauração dos ativos.
De acordo com a EMURGO, a solução de recuperação está sendo projetada levando em consideração o estado atual das carteiras dos usuários. Por causa disso, está sendo solicitado aos usuários que não movimentem seus fundos nem restaurem suas frases de recuperação em outras carteiras. Eles também foram informados de que tentar fazer isso poderia atrapalhar o processo de recuperação e potencialmente complicar as coisas.
Também vale a pena notar que o cronograma de duas semanas é mais uma estimativa no momento, e não um prazo definitivo. A EMURGO afirma que o tempo necessário para que a ferramenta de recuperação esteja pronta para uso dependerá dos resultados das verificações de segurança em andamento.
Charles Hoskinson Afirma que a Cardano Não Foi Violada
Como a comunidade está agora um pouco nervosa, o fundador da Cardano, Charles Hoskinson, tentou tranquilizar as pessoas dizendo que a própria blockchain da Cardano nunca foi comprometida.
De acordo com Hoskinson, o problema ficou isolado em um aplicativo separado construído no topo da Cardano, e não no protocolo Cardano em si, na infraestrutura de nós ou na arquitetura criptográfica.
Hoskinson diz que tem testado um modelo de contrato inteligente de recuperação que utiliza provas de conhecimento zero vinculadas às frases de recuperação das carteiras para verificar a propriedade e distribuir os fundos a partir de um fundo de recuperação.
Durante uma transmissão ao vivo, ele reconheceu o enorme impacto emocional sobre as vítimas do hack, destacando que perder o seu dinheiro ainda dói, não importa o tamanho do hack.
Novas Ameaças de Golpes Estão Surgindo
O período pós-hack da SecondFi trouxe outro problema, que são os golpes de falsificação de identidade.
A EMURGO está alertando que contas de suporte falsas já estão surgindo nas redes sociais e plataformas de mensagens, visando pessoas que buscam ajuda.
A empresa teve que deixar claro que nunca entrará em contato com os usuários solicitando chaves privadas, frases semente, detalhes de carteiras ou que entreguem o acesso às suas carteiras. Até o momento, nenhuma ação de recuperação que exija que os usuários transfiram fundos foi iniciada.
Os usuários afetados estão sendo direcionados exclusivamente para o portal oficial de suporte para enviar suas solicitações e aguardar mais instruções.
Conclusão
O hack da SecondFi expôs uma fraqueza no software gerador de carteiras, e não na blockchain da Cardano, mas isso não tornou o resultado menos doloroso.
Com 16 milhões de ADA confirmados como roubados, 129 milhões de ADA protegidos por meio de medidas de emergência e estimativas de perda total variando de US$ 2,4 milhões a cerca de US$ 20 milhões, este é um teste real para a EMURGO e para o ecossistema geral da Cardano.
Ao longo das próximas duas semanas, os investidores estarão atentos para ver se o plano de recuperação pode restaurar a confiança e trazer o dinheiro de volta.
Glossário
ADA: A criptomoeda nativa da blockchain Cardano.
Chave Privada: Uma credencial criptográfica que permite controlar os seus ativos na blockchain.
Software de Geração de Carteiras: O código que cria carteiras e gera as chaves privadas corretas.
Prova de Conhecimento Zero: Um método criptográfico que permite a verificação de propriedade sem revelar informações confidenciais.
Carteira de Autocustódia: Uma carteira onde os usuários controlam as suas próprias chaves privadas, sem depender de terceiros.
Perguntas Frequentes Sobre o Hack da SecondFi
O que causou o hack da SecondFi?
Houve uma falha no software de geração de carteiras utilizado pela SecondFi que permitiu aos hackers reconstruírem chaves privadas e entrarem nas carteiras afetadas.
Quanto foi roubado na exploração?
A SecondFi confirmou que perdeu cerca de 16 milhões de ADA, avaliados em cerca de US$ 2,4 milhões na época. Alguns pesquisadores de segurança calculam que a exposição total pode ser muito maior, chegando a até US$ 20 milhões.
Quantas carteiras foram afetadas?
A SecondFi informou que 374 carteiras foram atingidas durante o ataque.
A própria Cardano foi comprometida?
Não, o fundador da Cardano, Charles Hoskinson, deixou claro que o protocolo e a infraestrutura da blockchain permaneceram sólidos.
Quando os usuários receberão o dinheiro de volta?
A EMURGO estima que os esforços de recuperação possam começar dentro de algumas semanas, dependendo dos testes e das verificações de segurança.
