EMURGO, entité fondatrice de Cardano, affirme avoir identifié une solution de récupération après la faille ayant touché son portefeuille SecondFi. L’incident a permis le vol d’environ 16 millions d’ADA, soit près de 2,4 millions de dollars, depuis 374 adresses entre le 21 et le 23 juin.

Le PDG d’EMURGO, Phillip Pon, a indiqué que l’enquête était terminée, que les soldes des portefeuilles avaient été validés et qu’une solution de récupération claire avait été trouvée. Selon lui, le processus devrait prendre environ deux semaines : une semaine pour mettre en place le mécanisme, puis une semaine supplémentaire pour le tester avant le remboursement.

• Environ 16 millions d’ADA dérobés
• Près de 2,4 millions de dollars de pertes estimées
• 374 adresses concernées
• Remboursement visé sous environ deux semaines

📖 Cardano : SecondFi touché par un hack majeur

Une faille dans la génération de portefeuilles

SecondFi explique que la faille provient de son logiciel de génération de portefeuilles. Selon l’entreprise, une vulnérabilité au niveau de l’adresse aurait exposé les clés privées de certains utilisateurs. Elle précise que restaurer une phrase de récupération compromise dans un autre portefeuille ne supprime pas automatiquement le risque.

SecondFi a identifié quatre incidents de vidage de portefeuilles. Trois auraient été menés par des attaquants externes. Lors du quatrième, SecondFi affirme avoir transféré environ 129 millions d’ADA vers un dépositaire tiers indépendant afin de protéger ces fonds d’une nouvelle attaque.

📖 Un détenteur de Cardano perd 6 M$ après un swap

Deux portefeuilles frauduleux identifiés

L’entreprise affirme avoir identifié deux portefeuilles frauduleux. Le premier aurait vidé 171 portefeuilles, tandis que le second en aurait vidé 203. Environ 4 millions d’ADA liés au vol se trouveraient encore sur une adresse de collecte signalée et surveillée.

SecondFi indique avoir informé les forces de l’ordre. La société a également mandaté un cabinet comptable externe pour vérifier les avoirs placés sous garde après le transfert d’urgence.

Tibane Labs pointe un SDK tiers non audité

Un rapport séparé publié par Tibane Labs avance une explication plus technique. Selon cette analyse, la faille ne viendrait pas d’une simple réutilisation de nonces, mais d’une erreur dans la signature Ed25519. Une seule signature aurait suffi à reconstituer la clé privée d’un utilisateur.

Tibane Labs affirme qu’un SDK expérimental non audité, appelé trantor, aurait remplacé le code de signature précédemment audité d’EMURGO le 8 juin. Selon ce rapport, seules les signatures effectuées à partir de cette date seraient exposées.

EMURGO n’a pas encore publié de rapport technique complet et n’a pas commenté publiquement l’attribution de la faille à ce SDK tiers. The Block précise aussi ne pas avoir pu vérifier indépendamment les conclusions de Tibane Labs.

🔍 DUC Mon Avis : le vrai sujet, c’est la confiance dans le code

Cette affaire rappelle une règle simple : un portefeuille n’est jamais plus solide que le code qu’il exécute. Quand un outil lié à une blockchain majeure utilise un composant non audité ou insuffisamment vérifié, le risque devient immédiat pour les utilisateurs. Ici, le remboursement annoncé est une bonne nouvelle.

Mais le vrai débat reste la gouvernance technique, car une seule erreur de signature peut suffire à transformer un wallet en passoire numérique.

✍️ Article rédigé par DUC
📌 Source : EMURGO

🚀 Rejoignez-moi pour plus de contenu exclusif !

• 👉 YouTube : Bitcoin sans détour
• 👉 X : @bitcoinduc

📢Prendre des décisions informées dans cet univers passionnant ! Comprendre, Apprendre, Réussir…

• Sur YouTube : toute l’actualité de Bitcoin et un regard averti sur l’ensemble de l’univers des cryptomonnaies.

🔔 Abonnez-vous au site pour ne manquer aucun contenu

À bientôt, DUC