Un difetto nel software proprietario di generazione dei wallet ha aperto una falla che gli attaccanti hanno sfruttato per accedere ai fondi di numerosi utenti. È questa la dinamica al centro dell’exploit che ha colpito SecondFi, progetto costruito sull’ecosistema Cardano, con perdite stimate che potrebbero superare abbondantemente i 20 milioni di dollari. La notizia è emersa il 24 giugno 2026, a distanza di appena un giorno dal lancio del testnet Leios Musashi Dojo da parte di Cardano — un tempismo che difficilmente poteva essere peggiore.
Summary
Punti chiave
- SecondFi ha subito una violazione della sicurezza causata da un bug nel software proprietario di generazione dei wallet, non dal protocollo base di Cardano.
- Le stime delle perdite oscillano tra 16 milioni e oltre 129 milioni di ADA, con un valore totale superiore a 20 milioni di dollari secondo il fondatore di SlowMist, Yu Xian.
- ADA ha perso il 3% nelle 24 ore successive alla notizia, scambiando a 0,150237 dollari, vicino ai minimi degli ultimi cinque anni.
- Charles Hoskinson ha riconosciuto l’incidente, sottolineando che alcuni utenti potrebbero aver perso l’intero portafoglio in ADA.
- SecondFi non ha ancora comunicato un piano di rimborso né una tempistica per il recupero dei fondi.
SecondFi: come si è sviluppata la violazione
Il team di SecondFi ha ricondotto il breach a una vulnerabilità nel software proprietario di generazione dei wallet. Quel difetto ha permesso agli attaccanti di raggiungere i fondi distribuiti su più wallet di utenti diversi. Un dettaglio fondamentale: il protocollo base di Cardano non è stato in alcun modo compromesso. La falla era interamente circoscritta all’infrastruttura software del progetto.
Dopo aver identificato il vettore d’attacco, SecondFi ha condotto un’analisi on-chain per mappare gli indirizzi colpiti. L’entità dei danni, però, rimane difficile da quantificare con precisione.
Una forbice di perdite difficile da chiudere
Le stime oscillano in modo significativo: si va da un minimo di 16 milioni di ADA a un massimo di oltre 129 milioni di ADA, a cui si aggiungono token di altro tipo custoditi nei wallet compromessi. Al prezzo di 0,150237 dollari registrato il 24 giugno, la stima alta di SlowMist si traduce in circa 19,4 milioni di dollari. Ma Yu Xian, fondatore di SlowMist — noto online come Cos — ha collocato le perdite totali sopra i 20 milioni di dollari, tenendo conto proprio del valore aggiuntivo dei token non-ADA presenti nei wallet violati.
La forbice tra le due stime riflette l’incertezza ancora presente sull’effettiva portata dell’attacco. Nessuna cifra definitiva è stata certificata pubblicamente.
Impatto su ADA e sull’ecosistema Cardano
ADA ha reagito immediatamente alla diffusione della notizia, cedendo il 3% nelle 24 ore successive. Il token si trova già in una fase di debolezza: le quotazioni sono vicine ai minimi degli ultimi cinque anni, un contesto che amplifica la sensibilità del mercato a qualsiasi notizia negativa legata all’ecosistema.
Un momento difficile per la narrativa di Cardano
L’exploit su SecondFi è arrivato in un momento particolarmente delicato. Appena un giorno prima, Cardano aveva annunciato il lancio del testnet Leios Musashi Dojo, un passo tecnico atteso dalla community degli sviluppatori. I primi dati sull’attività on-chain, però, non mostravano ancora segnali di una ripresa concreta. La violazione rischia ora di rendere ancora più difficile l’obiettivo di attrarre nuovi sviluppatori e liquidità verso la rete.
Charles Hoskinson, fondatore di Cardano, ha preso pubblicamente posizione sull’accaduto. Ha riconosciuto che le perdite possono sembrare contenute rispetto ad altri exploit crypto di grande portata, ma ha precisato che questo non offre alcuna consolazione a chi è stato colpito. Hoskinson ha sottolineato esplicitamente che alcuni utenti potrebbero aver perso l’intero portafoglio in ADA, definendolo una realtà sgradevole ma reale del settore.
L’intervento del fondatore è significativo non solo sul piano simbolico. In un ecosistema già sotto pressione, la credibilità della risposta alla crisi vale quanto — o più — dei numeri stessi.
Cosa sta facendo SecondFi e cosa succede ora
SecondFi sta collaborando con una società indipendente di sicurezza blockchain per condurre una revisione tecnica approfondita. L’obiettivo è duplice: capire se una parte dei fondi sia ancora recuperabile e definire le modifiche necessarie all’infrastruttura dei wallet prima di riprendere le operazioni.
Al momento, il progetto non ha comunicato né una tempistica di rimborso né un piano di recovery strutturato. Gli utenti colpiti non sanno ancora se e quando potranno riavere accesso ai loro fondi.
Questo silenzio — comprensibile nelle fasi iniziali di un’indagine tecnica complessa — è però il fattore che più pesa sulla fiducia degli utenti. In assenza di impegni concreti, l’incertezza tende ad alimentarsi da sola.
Il risultato della revisione tecnica determinerà anche la direzione dell’infrastruttura futura: quali componenti del sistema di generazione dei wallet andranno riprogettati, con quale supervisione e con quali garanzie di sicurezza. Solo dopo quel processo SecondFi potrà valutare una ripresa sicura delle attività.
Quello che emerge dall’intera vicenda è un promemoria costoso per l’intero comparto: la robustezza del protocollo base non basta a proteggere gli utenti se il software applicativo costruito sopra presenta vulnerabilità critiche. La sicurezza di un ecosistema si misura dal suo anello più debole.
FAQ
Cosa ha causato l’exploit di SecondFi?
Un difetto nel software proprietario di generazione dei wallet di SecondFi ha permesso agli attaccanti di accedere ai fondi custoditi in più wallet di utenti diversi. Il protocollo base di Cardano non è stato coinvolto.
Quanti ADA sono stati persi nell’exploit?
Le stime delle perdite variano tra 16 milioni di ADA e oltre 129 milioni di ADA. Sommando i token non-ADA presenti nei wallet compromessi, il fondatore di SlowMist Yu Xian ha stimato perdite totali superiori a 20 milioni di dollari.
Il protocollo blockchain di Cardano è stato compromesso?
No. La violazione è rimasta circoscritta al software di SecondFi. Il protocollo base di Cardano non è stato in alcun modo coinvolto nell’exploit.
Cosa sta facendo SecondFi dopo la violazione?
SecondFi sta lavorando con una società indipendente di sicurezza blockchain per una revisione tecnica che valuterà la recuperabilità dei fondi e definirà le modifiche necessarie all’infrastruttura dei wallet prima di riprendere le operazioni. Non è ancora stato annunciato alcun piano di rimborso.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
