Der Cardano-basierte Wallet-Anbieter SecondFi fährt seinen Betrieb herunter, nachdem eine kryptografische Schwachstelle in seiner Wallet-Software Angreifern ermöglichte, etwa 16,1 Millionen ADA im Wert von rund 2,6 Millionen US-Dollar von Nutzern zu stehlen. Der Vorfall verdeutlicht die anhaltenden Sicherheitsprobleme bei Infrastruktur für Self-Custody-Wallets, bei denen Schwachstellen auf der Softwareebene Nutzergelder gefährden können, selbst wenn private Schlüssel den Nutzern nicht direkt offengelegt werden.

In einer am Mittwoch veröffentlichten Aktualisierung bestätigte SecondFi, dass es nach dem Sicherheitsvorfall, der 374 Wallets betraf, sowohl die SecondFi- als auch die Yoroi-Wallet-Dienste einstellen wird. Das Unternehmen hatte den Exploit erstmals offengelegt Ende Juni. Yoroi, zuvor von EMURGO entwickelt — einer der drei Gründungseinheiten von Cardano — war eines der meistgenutzten Light Wallets des Ökosystems, bevor der Betrieb auf SecondFi übertragen wurde.

Eine unabhängige Untersuchung des Blockchain-Intelligence-Anbieters Groom Lake identifizierte einen hochentwickelten externen Akteur als Verantwortlichen für den Angriff. Die Untersuchung deckte zudem Indikatoren auf, die möglicherweise mit der nordkoreanischen Lazarus Group in Verbindung stehen, wobei SecondFi darauf hinwies, dass keine endgültige Zuordnung bestätigt wurde. Die Lazarus Group wurde von Behörden der Vereinigten Staaten und mehreren Blockchain-Analysefirmen mit Kryptowährungsdiebstählen in Milliardenhöhe in Verbindung gebracht, darunter große Exploits bei Börsen und Protokollen, wodurch eine mögliche Beteiligung an einem Angriff auf Wallet-Ebene eine bemerkenswerte Entwicklung wäre.

Wiederherstellungsmaßnahmen laufen

SecondFi teilte mit, dass es ein auf Zero-Knowledge-Proofs basierendes Wiederherstellungstool entwickelt, das betroffenen Nutzern helfen soll, Vermögenswerte zurückzuerlangen und zugleich die Menge der Informationen zu minimieren, die sie teilen müssen. Das Tool befindet sich weiterhin in der Testphase und soll vor der geplanten Veröffentlichung im August von einem externen Auditor geprüft werden.

Die Plattform bereitet außerdem eine Wallet-Exportfunktion vor, damit Nutzer Vermögenswerte zu einem anderen Dienst migrieren können. SecondFi hat keinen direkten Erstattungsplan angekündigt und auch nicht angegeben, ob es Nutzer aus eigenen Mitteln entschädigen würde. Die Entscheidung, den Betrieb einzustellen, statt die Probleme im laufenden Betrieb zu beheben, steht im Gegensatz zum Vorgehen einiger anderer Wallet- und Infrastrukturanbieter, die von Exploits betroffen waren und teils tokenfinanzierte Erstattungsprogramme oder versicherungsgestützte Wiederherstellungsmechanismen verfolgt haben.

Nutzer frustriert über Verzögerungen

Die jüngste Aktualisierung hat Kritik von betroffenen Nutzern ausgelöst, die nach eigenen Angaben weiterhin auf einen klaren Wiederherstellungsweg warten. Am 27. Juni erklärte SecondFi, einen Wiederherstellungsansatz identifiziert zu haben, und erwartete, den Prozess nach Abschluss von Tests und Sicherheitsprüfungen innerhalb von etwa zwei Wochen zu beginnen. Fast einen Monat später erklärte das Unternehmen, das Tool befinde sich weiterhin in Entwicklung und werde nun für einen Start im August angestrebt.

Frühere Hinweise von SecondFi rieten betroffenen Nutzern davon ab, Wiederherstellungsphrasen in neuen Cardano-Wallets wiederherzustellen, und warnten, dass das Verschieben von Geldern an einen anderen Ort „das Risiko nicht mindert“, solange die Untersuchung noch andauerte.

„Aber vielen von uns wurde gesagt, unsere Gelder könnten innerhalb von zwei Wochen wiederhergestellt werden. Jetzt werden wir gebeten, noch länger zu warten“, schrieb ein Nutzer als Reaktion auf die Aktualisierung vom Mittwoch.

Cointelegraph kontaktierte SecondFi, um Details zu möglichen Erstattungsplänen zu erhalten, erhielt bis zum Zeitpunkt der Veröffentlichung jedoch keine Antwort. Auch EMURGO reagierte nicht auf frühere Anfragen nach einer Stellungnahme.

Verwandt: Allbridge pausiert Cross-Chain-Bridge nach Exploit über 1,65 Mio. US-Dollar