SecondFi, le portefeuille Cardano lancé en avril 2026 en tant que successeur de la plateforme Yoroi d'EMURGO, va cesser définitivement son activité suite à une faille de sécurité critique qui a permis le vol de 16,1 millions d'ADA appartenant à 374 portefeuilles utilisateurs. Les actifs volés étaient évalués à environ 2,4 millions de dollars au moment de l'incident en juin et à environ 2,8 millions de dollars selon le cours de l'ADA au 22 juillet 2026.

La vulnérabilité est apparue dans une mise à jour Android

La faille a été introduite via une mise à jour de l'application Android publiée le 8 juin. Elle a provoqué une fuite d'informations suffisante lors de chaque transaction signée via l'application affectée pour permettre aux attaquants de reconstituer les clés privées des utilisateurs à l'aide de données blockchain publiquement disponibles. Les enregistrements blockchain étant immuables, les experts en sécurité ont souligné que les clés compromises restent récupérables de façon permanente, même après les correctifs logiciels et la fermeture de la plateforme.

EMURGO a confirmé que SecondFi ne reprendra pas ses opérations. L'entreprise a déclaré que ses efforts sont désormais exclusivement axés sur la récupération des actifs pour les utilisateurs concernés, via une équipe dédiée à la récupération, bien qu'aucun calendrier de remboursement n'ait été communiqué.

Défaillance de l'implémentation cryptographique

La vulnérabilité provenait d'une implémentation défectueuse du schéma de signature numérique Ed25519 étendu de Cardano par SecondFi. En fonctionnement normal, chaque signature de transaction repose sur un nonce unique généré à partir des données de transaction et du matériel de clé secrète stocké sur l'appareil de l'utilisateur, garantissant ainsi que les signatures ne peuvent pas exposer la clé privée sous-jacente.

Cependant, l'application Android de SecondFi générait le nonce en utilisant uniquement des informations publiques de transaction, omettant la composante secrète requise. Des chercheurs en cybersécurité ont par la suite confirmé que cette erreur permettait à quiconque surveillant la blockchain Cardano de déduire les clés privées des utilisateurs directement à partir des signatures de transaction.

Des chercheurs indépendants ont démontré l'exploit en reconstituant des clés privées uniquement à partir d'enregistrements blockchain publiquement disponibles. Des analystes en sécurité ont qualifié cette défaillance d'implémentation de l'une des failles cryptographiques les plus graves jamais identifiées dans un portefeuille de cryptomonnaies en production, dépassant l'impact de plusieurs vulnérabilités de portefeuilles Bitcoin antérieurs.

Le 22 juillet 2026, SecondFi a publié une déclaration publique via X :

An update regarding the recent security incident involving SecondFi What happened to SecondFi Between June 21st and 23rd, SecondFi experienced a security incident that resulted in approximately 16.1 million ADA (~$2.6 million) being stolen from 374 wallets. We want to provide… — SecondFi (@secondfiapp) July 22, 2026

Les données compromises étant intégrées dans les enregistrements permanents de la blockchain, EMURGO a averti que l'importation d'une phrase de récupération affectée dans un autre portefeuille Cardano n'éliminerait pas le risque. Les utilisateurs doivent entièrement abandonner les adresses de portefeuille compromises et générer de nouvelles clés.

Plusieurs attaques sur deux jours

L'exploitation s'est déroulée entre le 21 et le 23 juin lors de quatre événements distincts de vidage de portefeuilles. Selon EMURGO, trois des attaques ont été perpétrées par des acteurs de menaces externes, tandis que la quatrième était un transfert d'urgence initié par l'entreprise elle-même. Lors de cette intervention, environ 129 millions d'ADA ont été transférés vers un portefeuille de garde tiers avant que les attaquants n'y aient accès. Malgré cela, 16,1 millions d'ADA n'ont pas pu être sécurisés à temps.

La société de renseignement blockchain Groom Lake aurait conclu que l'attaquant principal présentait des caractéristiques comportementales et techniques compatibles avec le Lazarus Group de Corée du Nord, bien que les enquêteurs n'aient pas attribué officiellement l'attaque. Un autre attaquant distinct et sans lien a également été identifié comme ayant ciblé différents portefeuilles durant la même période.

Une vulnérabilité parallèle dans Zilliqa élargit les inquiétudes

La divulgation concernant SecondFi a coïncidé avec la révélation d'une faille cryptographique similaire dans l'application de portefeuille matériel Ledger de Zilliqa. Les chercheurs ont indiqué que la faille était restée indétectée depuis 2019 et pouvait également permettre la reconstitution de clés privées après la collecte de plusieurs signatures blockchain.

Bien que les mécanismes techniques diffèrent, les deux vulnérabilités remontaient à une génération défectueuse de nonce lors de la signature de transactions. Les erreurs de génération de nonce de cette catégorie ont une longue histoire documentée en cryptographie appliquée, avec des incidents antérieurs notables incluant la compromission de la clé de signature de la PlayStation 3 en 2010 et plusieurs pertes de portefeuilles Bitcoin antérieurs, où des nonces réutilisés ou prévisibles ont permis de récupérer des clés privées à partir de signatures publiées. Les spécialistes de la sécurité ont déclaré que ces incidents démontrent que de telles erreurs restent un risque important et activement exploitable dans les logiciels de portefeuilles blockchain. La divulgation simultanée de vulnérabilités structurellement similaires dans SecondFi et Zilliqa suggère que ces failles d'implémentation cryptographique pourraient être plus répandues dans l'écosystème blockchain qu'on ne le pensait précédemment.

La fermeture de SecondFi revêt une importance plus large car EMURGO est l'une des trois entités fondatrices de Cardano, aux côtés de la Cardano Foundation et d'Input Output Global. Le portefeuille avait remplacé Yoroi, qui a servi plus d'un million d'utilisateurs pendant près de huit ans avant d'être rebaptisé SecondFi au début de l'année 2026.

Mesures de récupération en cours de développement

EMURGO a déclaré développer un portail de récupération basé sur les preuves à divulgation nulle de connaissance, actuellement soumis à des audits tiers, avec une publication attendue en août. Des outils de migration de portefeuille supplémentaires sont également prévus pour aider les utilisateurs non concernés à transférer leurs ADA vers des portefeuilles alternatifs. Un portail de vérification sera également mis à disposition, permettant aux utilisateurs de déterminer si leurs adresses de portefeuille figuraient parmi les 374 compromise.

L'entreprise a souligné que les utilisateurs ayant signé des transactions via des portefeuilles matériels Ledger ou Trezor n'étaient pas affectés, car la vulnérabilité existait uniquement au sein du logiciel Android de SecondFi et non dans le firmware des portefeuilles matériels.

Cet incident a intensifié l'examen de la sécurité des portefeuilles d'auto-garde, soulignant que bien que les utilisateurs puissent conserver le contrôle de leurs propres clés privées, la sécurité de ces actifs dépend en fin de compte de l'exactitude du logiciel cryptographique responsable de la génération des signatures de transaction.