Un difetto nel sistema di generazione dei wallet web ha aperto una falla silenziosa nell’ecosistema Cardano. Il 23 giugno 2026, SecondFi — la piattaforma nota fino ad aprile scorso come Yoroi — ha reso pubblica una violazione critica della sicurezza che ha esposto le chiavi crittografiche private di centinaia di utenti, mettendo a rischio fondi in ADA per un valore che secondo alcune stime potrebbe superare i 20 milioni di dollari.
Summary
Punti chiave
- SecondFi ha rivelato una violazione critica il 23 giugno 2026, causata da un difetto nel sistema web di generazione dei wallet.
- Circa 178 wallet sono stati confermati come compromessi; il furto verificato ammonta a circa 16 milioni di ADA (circa 2,4 milioni di dollari).
- SlowMist stima che le perdite potenziali possano superare 20 milioni di dollari, coinvolgendo fino a 129 milioni di ADA.
- SecondFi ha congelato i saldi e sospeso i servizi; non esiste ancora un piano di rimborso da parte di Emurgo.
- Gli utenti devono trasferire immediatamente i fondi su wallet generati con provider alternativi.
Violazione critica: portata e cause
Il problema tecnico all’origine del furto ADA dal wallet SecondFi riguarda specificatamente il modulo web di generazione delle chiavi. Quando un utente creava un nuovo wallet tramite l’interfaccia web della piattaforma, il sistema produceva chiavi crittografiche che risultavano prevedibili o accessibili a terzi malintenzionati. Un errore architetturale che, nel tempo, ha lasciato aperta una finestra di attacco silenziosa su potenzialmente migliaia di account.
Le indagini preliminari hanno confermato circa 178 wallet direttamente compromessi. Il furto verificato ammonta a circa 16 milioni di token ADA, equivalenti a circa 2,4 milioni di dollari ai tassi di cambio attuali. Oltre ai token ADA, sono stati sottratti anche altri asset digitali e token non fungibili.
La piattaforma conta una comunità di utenti superiore al milione di persone. Chiunque abbia generato un wallet attraverso il sistema web di SecondFi o del precedente Yoroi deve considerare quei fondi potenzialmente esposti.
Azioni immediate intraprese da SecondFi
Subito dopo la scoperta della violazione, SecondFi ha congelato i saldi degli account e ha messo i servizi in modalità manutenzione. La piattaforma ha emesso avvisi urgenti avvertendo che qualsiasi wallet generato tramite il sistema compromesso va trattato come vulnerabile, indipendentemente da quando è stato creato.
Non esiste ancora un calendario per il ripristino delle operazioni normali. I risultati dell’audit di sicurezza completo non sono stati pubblicati.
Impatto finanziario e minacce in corso
La distanza tra cifre confermate e proiezioni racconta la dimensione reale del rischio. Gli specialisti di sicurezza blockchain di SlowMist stimano che le perdite totali possano superare i 20 milioni di dollari, coinvolgendo fino a 129 milioni di token ADA. Uno scarto enorme rispetto ai 16 milioni ADA già confermati come sottratti.
Questo divario non è una contraddizione: significa che molti wallet vulnerabili non sono stati ancora svuotati, ma restano esposti e potenzialmente nel mirino. Ogni ora di ritardo nell’agire aumenta il rischio per gli utenti che non hanno ancora spostato i propri fondi.
Truffe di recupero che prendono di mira gli utenti
Al danno diretto si aggiunge una minaccia secondaria già attiva. Attori fraudolenti stanno impersonando i canali ufficiali di SecondFi, distribuendo finti strumenti di recupero e cercando di sottrarre le credenziali degli utenti preoccupati. Chi cerca assistenza online corre il rischio concreto di essere contattato da truffatori che si spacciano per il supporto della piattaforma.
SecondFi ha confermato questa dinamica. Qualsiasi strumento di “recupero” non proveniente da canali ufficiali verificati va considerato potenzialmente malevolo.
Da Yoroi a SecondFi: un cambio di nome ad alto rischio reputazionale
Il rebranding da Yoroi a SecondFi è avvenuto nell’aprile 2026, meno di tre mesi prima della violazione. Yoroi era il wallet sviluppato da Emurgo, una delle tre organizzazioni fondatrici dell’ecosistema Cardano. Non si tratta di un fornitore terzo qualsiasi: Emurgo ha un ruolo centrale nella governance e nello sviluppo del protocollo.
Questo legame istituzionale trasforma l’incidente in qualcosa di più profondo rispetto a una normale vulnerabilità software. Una falla di sicurezza in un wallet direttamente connesso a uno dei fondatori di Cardano mette in discussione la solidità dell’intera infrastruttura percepita dagli utenti come “ufficiale”.
Emurgo e la questione dei rimborsi
Il nodo centrale che l’ecosistema guarda con attenzione è la posizione di Emurgo. L’organizzazione non ha ancora indicato alcun piano per compensare gli utenti colpiti. Nessun impegno, nessuna tempistica, nessuna dichiarazione pubblica sulla restituzione dei fondi sottratti.
Questa assenza di risposta amplifica l’incertezza per chi ha subito perdite. La community Cardano seguirà da vicino ogni segnale nei prossimi giorni.
Cosa devono fare gli utenti adesso
Gli esperti di sicurezza sono unanimi: chi ha utilizzato SecondFi o Yoroi nel suo formato web deve agire subito. La raccomandazione è chiara — generare nuovi wallet tramite provider alternativi e trasferire immediatamente tutti i fondi, senza attendere aggiornamenti dalla piattaforma.
Affidarsi a wallet hardware o a soluzioni self-custodial con codice open-source auditato rimane la scelta più sicura. Non bisogna aspettare la riapertura dei servizi SecondFi o la pubblicazione dei risultati dell’audit per muoversi.
Il silenzio di Emurgo sui rimborsi e l’assenza di una roadmap per il ripristino lasciano gli utenti colpiti in una posizione difficile: fondi a rischio, nessuna certezza di restituzione, e la pressione di dover agire in autonomia con informazioni ancora incomplete. Per l’ecosistema Cardano, la vera prova non è la violazione in sé — è la risposta che verrà nelle prossime settimane.
FAQ
Qual è la causa della violazione di sicurezza di SecondFi?
Un difetto nel sistema web di generazione dei wallet di SecondFi ha esposto le chiavi crittografiche private degli utenti, rendendole accessibili a soggetti malintenzionati.
Quanti wallet sono stati compromessi e quali sono le perdite?
Circa 178 wallet sono stati confermati come compromessi. Il furto verificato ammonta a circa 16 milioni di token ADA, pari a circa 2,4 milioni di dollari. Secondo le stime di SlowMist, le perdite potenziali potrebbero superare i 20 milioni di dollari, con fino a 129 milioni di ADA coinvolti.
Cosa devono fare gli utenti colpiti?
Gli utenti devono generare immediatamente nuovi wallet tramite provider alternativi e trasferire tutti i fondi senza aspettare ulteriori comunicazioni da SecondFi. Devono anche diffidare di qualsiasi strumento di “recupero” non verificato ufficialmente.
Emurgo si è impegnata a risarcire gli utenti colpiti dalla violazione?
No. Emurgo non ha ancora indicato alcun piano per compensare gli utenti colpiti dalla violazione di sicurezza di SecondFi.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
