加密新闻

EMURGO，作为Cardano生态系统的核心创始组织之一，宣布启动针对SecondFi钱包用户因大规模漏洞攻击受损的资金退还程序。公司首席执行官菲利普·蓬证实，补偿机制已制定完成，首批赔付预计将在约两周后开始。根据链上分析数据，此次事件波及374个地址，共提取约1600万枚ADA。

未来一周，团队计划完成退款机制的技术实施，随后将进行为期一周的严格测试。强烈建议SecondFi用户在收到官方指示前，切勿对资产进行任何操作。特别强调，该服务绝不会索取私钥、助记词或钱包访问权限——任何此类信息均属诈骗行为。

攻击时间线与损失规模

据SecondFi团队数据，6月21日至23日期间共发生四起未经授权的资金提取事件。其中三起事件中，外部攻击者从374个地址提取了约1600万枚ADA（攻击发生时价值约240万美元）。第四起事件中，团队紧急将约1.29亿枚ADA转移至独立托管方，以隔离资产免受进一步侵害。这些资金的安全保管情况正由外部审计公司核查。

SecondFi还识别出两个攻击者钱包：一个关联171个被入侵地址，另一个关联203个地址。约400万枚与盗窃相关的ADA位于标记的归集地址中，目前处于监控状态。执法机构已获知此事。

技术细节：Tibane Labs版本

独立公司Tibane Labs进行了专项调查。其报告指出，问题根源并非nonce重复使用，而是与Ed25519签名错误相关的漏洞。Tibane Labs声称，6月8日，一名独立开发者发布的未审计SDK trantor（位于npm注册表中）取代了此前EMURGO使用的已验证签名模块。据专家评估，仅需一笔已签名交易即可恢复私钥。

值得注意的是，EMURGO至今未发布完整的技术事后分析报告，也未公开回应Tibane Labs的结论。SecondFi钱包（4月前名为Yoroi）长期作为Cardano生态系统的主要工具之一，此次事件对社区打击尤为沉重。

专业评论： SecondFi事件鲜明展示了即便是历史悠久、备受尊敬的项目，也可能面临意外攻击向量的脆弱性。缺乏公开的事后分析报告以及对Tibane Labs详细报告的沉默，引发了诸多疑问。Cardano用户应认真对待独立专家的结论，未来需优先关注所用SDK的审计情况，尤其是第三方开发者提供的SDK。此类事件后，EMURGO要重建信任，不仅需要经济补偿，更需最大程度的透明度。