SecondFi pozastavila provoz po odhalení kritické chyby. Z peněženek Cardano zmizelo přes 20 milionů dolarů

Poskytovatel kryptoměnových peněženek SecondFi, dříve spojený s projektem Yoroi, pozastavil veškeré služby po odhalení kritické bezpečnostní zranitelnosti. Chyba v proprietárním softwaru pro generování peněženek vedla k úniku soukromých klíčů a následnému odcizení kryptoměny ADA v hodnotě přesahující 20 milionů dolarů. Pro Cardano komunitu je to varovný signál, ale i jasná lekce o tom, že bezpečnost blockchainu nekončí u samotného protokolu.

Co se stalo a jak velké jsou škody?

Zranitelnost se týkala způsobu, jakým SecondFi generoval soukromé klíče ve svém webovém rozhraní. Pokud je tento klíč vygenerován chybně nebo nesprávně uchováván, útočník může získat plný přístup k peněžence bez ohledu na to, jak robustní je samotný blockchain v pozadí. Jde o stejný princip, jako kdyby banka měla perfektní trezory, ale vydávala klíče od nich na ulici.

Prvotní odhady hovořily o odcizení přibližně 16 milionů ADA z 374 peněženek, což při aktuálních cenách odpovídá zhruba 2,4 milionu dolarů. Bezpečnostní firma SlowMist však vydala varování, že celkový dopad by mohl přesáhnout 129 milionů ADA, tedy více než 20 milionů dolarů. Tato čísla je třeba brát s rezervou, dokud nebude k dispozici kompletní analýza incidentu.

Cardano samotné hacknuté nebylo

Zásadní informace, která se v diskusích snadno ztratí: blockchain Cardano nebyl napaden ani jinak kompromitován. Incident je plně lokalizován do softwaru SecondFi, nikoliv do základní vrstvy protokolu. Konsenzus sítě, transakční ledger ani kryptografické základy Cardana zůstaly nedotčeny.

Toto rozlišení má přímý dopad na interpretaci situace. Někteří uživatelé mohli nabýt dojmu, že samotná kryptoměna ADA je nespolehlivá nebo zranitelná. To by byl mylný závěr. Problém vznikl u třetí strany, která spravovala přístupové klíče k peněženkám, nikoli u samotné sítě. Podobnou logikou lze říci, že pokud vám někdo ukradne PIN od bankovní karty, neznamená to, že je celý bankovní systém děravý.

Varování pro postižené uživatele

Nejdůležitější rada: nepoužívejte kompromitovaná seed fráze

Pokud se vaše peněženka nachází mezi postiženými, platí jedno kritické pravidlo: neimportujte kompromitovanou seed frázi do jiné peněženky. Přesunutí stejného obnovovacího hesla do nového rozhraní nic nevyřeší. Pokud byl soukromý klíč vygenerován chybně nebo uniklý, zůstává kompromitovaný bez ohledu na to, jaký software jej použije.

• Neobnovujte peněženku pomocí stávající seed fráze v žádné jiné aplikaci
• Ignorujte nabídky „záchranných služeb“ a „refundačních portálů“ od třetích stran
• Sledujte výhradně oficiální komunikaci SecondFi a ověřené bezpečnostní poradce
• Neposkytujte nikomu svou seed frázi ani soukromý klíč, ani pod záminkou ověření

Bohužel po každém větším kryptoměnovém incidentu se rychle objevují podvodníci vydávající se za podporu nebo záchranné týmy. Tato taktika je v kryptoprůmyslu dobře zdokumentovaná a každý rok připraví o prostředky stovky dalších obětí.

Co to znamená pro české investory a držitele ADA

Česká Cardano komunita není velikostně srovnatelná s tou bitcoinovou, přesto jde o incident s přímými dopady na každého, kdo ADA drží nebo s ní obchoduje. Cena ADA může v důsledku negativní publicity krátkodobě trpět, zejména v kontextu aktuálně nervózního trhu — index strachu a chamtivosti se pohybuje na hodnotě 15, tedy v pásmu extrémního strachu.

Pro české držitele ADA platí jasné doporučení: ověřte, zda jste peněženku zakládali prostřednictvím platformy SecondFi nebo dříve prostřednictvím Yoroi wallet. Pokud ano, kontaktujte oficiální podporu a zatím s peněženkou nijak nemanipulujte. Pokud používáte jiné hardwarové nebo softwarové peněženky jako Ledger, Trezor nebo Eternl, nejste tímto incidentem dotčeni.

Z pohledu české daňové legislativy: pokud vám kryptoměny byly odcizeny, jde o složitou situaci. Česká finanční správa v tuto chvíli nemá explicitní metodiku pro odečet ztrát způsobených krádeží kryptoměn od daňového základu. Případné kompenzace nebo náhrady by pak podléhaly standardnímu zdanění jako příjem. Doporučujeme v takové situaci konzultovat daňového poradce se zkušenostmi v oblasti digitálních aktiv.

Širší poučení pro celý kryptotrh

Incident SecondFi je dalším příkladem v dlouhé řadě případů, kdy slabým článkem bezpečnostního řetězce nebyl samotný blockchain, ale vrstva infrastruktury nad ním. Webové peněženky, rozšíření prohlížečů, mobilní aplikace — všechny tyto rozhraní tvoří potenciální místa selhání.

Hardwarové peněženky jako Trezor (mimochodem česká firma) nebo Ledger proto nejsou jen marketingovým nadstandartem, ale skutečnou pojistkou. Generování soukromého klíče offline na dedikovaném zařízení eliminuje třídu útoků, která SecondFi postihla. Pro investory s hodnotou kryptoměn přesahující desítky tisíc korun jde o investici, která se rychle vrátí třeba i jen klíčovým klidem.

Finální rozsah škod a případný plán na kompenzaci postižených bude záviset na tom, zda SecondFi zveřejní podrobnou technickou analýzu a zda bezpečnostní firmy potvrdí konečný počet poškozených peněženek. Do té doby zůstává situace otevřená a každý den může přinést nová čísla.