Cardano(ADA)被盗2100万美元后,SecondFi为每个无法找回的NFT开出30 ADA补偿

SecondFi找回通道上线

故事的起点是SecondFi面向Cardano(ADA)的加密货币钱包在密钥处理代码上的一处缺陷。2026年6月,这些钱包在推导nonce值(每笔交易签名都要用到的单次使用数字)时出错,用户的私钥随之暴露,价值约2100万美元的资产在这家新金融平台上流出,项目方也把这一数字作为整个事件的损失总额。至于缺陷如何进入生产环境,目前并没有完整的公开说明:SecondFi始终没有发布点名具体代码路径的事后复盘。事件期间的链上记录显示资金分成两路:不法黑客直接从受影响钱包中盗走240万美元,另一位身份未公开的白帽地址则转走了1850万美元,项目方将后者描述为其安全响应的一部分。四个月过去,加上公司整个夏天反复推迟的时间表,找回阶段终于启动。SecondFi于周三上线找回通道,受害用户可以对照6月攻击事件的事件快照对自己的损失进行评估。用户通过该通道核验受影响的钱包,并为被盗资产提交索赔。公司同时提醒,快照只是一个估算,并称“最终金额可能有所出入”。对于无法以原形式返还的资产,方案是每个无法找回的NFT固定补偿30 Cardano (ADA),按项目方设定的汇率折合7.60美元,而这类资产的市场价格从近乎一文不值到远高于该补偿都有。索赔还要求一个全新的接收地址:受害用户必须提供一个新创建的钱包地址来接收返还资金,避免找回的资产再经过6月攻击波及的地址。Cardano(ADA)价格过去24小时下跌4.4%,市场对一个酝酿了四个月的方案的回应相当平淡。

8月期限一拖再拖,拖过整个9月

找回通道的上线谈不上准时。SecondFi原定于8月推出这一通道,进入9月后日期被多次推迟,直到本周三才真正面世。每一次推迟期间,受害用户都没有正式的索赔渠道可走。索赔流程按固定步骤推进,每一步都意味着等待。用户先对照事件快照核验受影响的钱包地址,随后工具会生成一份可找回资产的估算明细。接着用户需提供新创建的钱包地址作为返还资金的接收地。下一步是生成零知识证明,这是一种在不透露底层数据的前提下验证索赔有效的密码学方法,单是这一步最长可能耗时15分钟。索赔处理本身最长需要5个工作日,即便是顺利的案例,到账也要等到10月中旬。项目方官方指南里有一条尤其扎眼的指示:它建议用户在受攻击钱包(其主种子控制着HD钱包中的每一个地址)中,把私有的恢复助记词直接输入SecondFi的网页。只要用户加载的页面不是正品,这条指引就把他们暴露在仿冒站点和中间人攻击之下,即便通道已经上线,这一风险依然存在。危险并不取决于SecondFi自身的意图;一个仿冒域名就足够了。找回工作如今是这家山寨币钱包公司的全部业务:SecondFi在事件后宣布逐步收缩运营,专注于资产找回。母公司也付出了声誉代价。作为Cardano联合创始方和SecondFi的缔造者,Emurgo因此让出了自己在Token2049的展位,这一插曲与COINOTAG本周早前报道过的Token2049展位争议相关。

快照估值遇上NFT市值

通道内最需要盯住的数字,是给每个无法找回的NFT设定的固定30 Cardano (ADA)(约合7.60美元)补偿,与该资产的市场价值无关。持有低价值藏品的用户由此获得一个保底线;资产成交价远高于这一水平的持有者则自行承担差额,而“最终金额可能有所出入”的免责表述,连快照估算本身都没有给出任何保证。助记词输入网页的建议仍是悬在运营层面的风险:经历过私钥暴露的用户在转移资产时,应把冷钱包作为基本操作,我们关于使用Ledger质押ADA的指南介绍了其中一种路径。攻击者交易哈希与完整的事后复盘至今均未公开,240万美元与1850万美元的资金拆分,眼下只能依赖项目方自己对6月链上记录的说法。