Un wallet Cardano colpito da un attacco sofisticato, 16,1 milioni di ADA sottratti in un colpo solo, e ora una strada verso il rimborso che non ha precedenti nel mondo Web3. La vicenda di SecondFi è diventata uno dei casi di sicurezza crypto più discussi del 2026, non solo per l’entità del furto — circa 2,4 milioni di dollari — ma per come il team sta cercando di rispondere: con una roadmap in tre fasi e uno strumento di compensazione basato su zero-knowledge proof, sviluppato con il supporto di Input Output Group e della Cardano Foundation.
Summary
Punti chiave
- Nel giugno 2026, hacker hanno sottratto 16,1 milioni di ADA (circa 2,4 milioni di dollari) da 374 wallet SecondFi, sfruttando una vulnerabilità nell’app Android.
- L’attacco è stato attribuito con forti indizi al Lazarus Group nordcoreano, anche se nessuna attribuzione definitiva è stata confermata.
- SecondFi ha messo in sicurezza 129 milioni di ADA trasferendo i fondi in custodia prima che gli attaccanti potessero raggiungerli.
- Il piano di recupero si articola in tre fasi: invio delle richieste (già attivo), strumento di migrazione (metà agosto) e portale di rimborso con zero-knowledge proof (inizio settembre).
- SecondFi chiude definitivamente le operazioni ordinarie e si concentra esclusivamente su rimborsi e recupero degli asset.
L’exploit di giugno 2026: come è avvenuto il furto
La violazione è partita da un difetto nel software di firma delle transazioni, nella versione Android dell’applicazione. Quel difetto permetteva di ricavare crittograficamente le chiavi private degli utenti direttamente dai dati di transazione visibili sulla blockchain di Cardano. In pratica, gli attaccanti non hanno bucato la rete — che è rimasta intatta — ma hanno sfruttato un punto cieco nell’app per ricostruire le credenziali degli utenti.
I 374 wallet colpiti hanno perso complessivamente 16,1 milioni di ADA, equivalenti a circa 2,4 milioni di dollari al momento del furto. Gli utenti con hardware wallet non sono stati coinvolti.
Il coinvolgimento del Lazarus Group
L’indagine indipendente condotta da Groom Lake, società di intelligence blockchain ingaggiata da EMURGO, ha identificato un attore esterno sofisticato e ben finanziato. Diversi indicatori puntano al Lazarus Group, il collettivo hacker legato alla Corea del Nord già responsabile di alcuni dei più grandi furti crypto della storia. Nessuna attribuzione formale è però stata confermata. Durante lo stesso periodo, un secondo attaccante separato ha preso di mira un altro gruppo di wallet.
Il team di SecondFi è riuscito a limitare i danni in modo significativo: 129 milioni di ADA sono stati messi al sicuro trasferendoli in custodia prima che gli aggressori potessero raggiungerli. Una mossa tempestiva che ha evitato uno scenario molto peggiore.
SecondFi chiude le operazioni ordinarie
La conseguenza diretta dell’attacco è la chiusura definitiva del servizio. SecondFi — che aveva sostituito il wallet Yoroi di EMURGO — non tornerà alla normalità operativa. Tutte le risorse del team sono ora concentrate su un unico obiettivo: restituire gli asset agli utenti e distribuire i rimborsi in modo sicuro.
È una decisione che ha un peso specifico per l’ecosistema Cardano. SecondFi era uno dei wallet di riferimento per migliaia di utenti ADA, e la sua uscita di scena lascia un vuoto che altri progetti dovranno colmare. Ma la scelta di non fingere una continuità operativa impossibile, concentrandosi invece sul risarcimento, è stata accolta come un segnale di responsabilità — raro in un settore dove i team spesso spariscono dopo un exploit.
La roadmap in tre fasi per restituire i fondi
La risposta tecnica di SecondFi alla crisi è strutturata in tre stadi progressivi, ciascuno con una funzione specifica nel processo di recupero.
Fase di invio delle richieste: già attiva
Il primo stadio è operativo da subito. SecondFi ha integrato nell’app un sistema semplificato per la presentazione delle richieste di risarcimento. Gli utenti colpiti devono aggiornare l’applicazione all’ultima versione e inviare la propria segnalazione tramite il ticket system integrato. È il punto di partenza obbligatorio per accedere alle fasi successive.
Strumento di migrazione: audit di sicurezza in corso, rilascio a metà agosto
Il secondo strumento è già stato sviluppato ed è attualmente sottoposto a un audit di sicurezza esterno. Una volta rilasciato — previsto per metà agosto — permetterà agli utenti di sbloccare automaticamente gli ADA in staking e trasferire monete, token e NFT verso qualsiasi altro wallet Cardano scelto dall’utente.
C’è un avvertimento importante: gli utenti non devono eliminare il wallet SecondFi né disinstallare l’app prima di completare questa fase. Farlo potrebbe complicare o impedire il processo di recupero.
Portale di rimborso con zero-knowledge proof: inizio settembre
È la componente più innovativa dell’intera operazione. Il portale basato su zero-knowledge proof — sviluppato con il supporto di Input Output Group e della Cardano Foundation — permetterà agli utenti di dimostrare di aver posseduto i wallet compromessi e di richiedere la compensazione senza dover rivelare seed phrase o chiavi private.
Questo è il vero precedente tecnologico: per la prima volta nel Web3, uno strumento di compensazione post-hack utilizza le ZK proof per proteggere la privacy degli utenti durante il processo di rimborso. Lo strumento sarà sottoposto ad audit crittografici e test per tutto agosto, con rilascio programmato per inizio settembre.
Il coinvolgimento di Input Output Group — il laboratorio di ricerca dietro Cardano — e della Cardano Foundation conferisce al progetto una credibilità tecnica e istituzionale difficile da ignorare. Non si tratta di una patch improvvisata, ma di un’infrastruttura pensata per diventare un modello replicabile.
Allarme truffe: i phishing post-hack sono già attivi
Mentre SecondFi lavora al recupero, i truffatori hanno già iniziato a sfruttare la situazione. Stanno circolando estensioni browser false che imitano SecondFi, e alcuni utenti stanno ricevendo messaggi privati da account che si spacciano per il supporto ufficiale del progetto.
Il team ha ribadito con forza: SecondFi non contatta mai gli utenti per primi, non chiede mai chiavi private, seed phrase o credenziali wallet, e non invia mai link non richiesti. L’unica estensione legittima è disponibile tramite il Chrome Web Store e porta il badge di verifica blu. Qualsiasi link va verificato esclusivamente attraverso il sito ufficiale di SecondFi.
In un momento in cui gli utenti sono già sotto stress per il furto subito, un secondo attacco — questa volta via phishing — potrebbe causare danni ulteriori e irreversibili. La soglia di attenzione deve restare massima fino al completamento di tutte e tre le fasi della roadmap.
FAQ
Come è avvenuto l’hack del wallet SecondFi?
L’attacco ha sfruttato una vulnerabilità nel software di firma delle transazioni nella versione Android dell’app, che permetteva di ricavare crittograficamente le chiavi private degli utenti dai dati di transazione visibili sulla blockchain di Cardano. Il Lazarus Group è indicato come probabile responsabile, sebbene nessuna attribuzione definitiva sia stata confermata.
Qual è il piano di SecondFi per restituire gli ADA rubati?
SecondFi ha pubblicato una roadmap in tre fasi: invio delle richieste di risarcimento (già attivo tramite l’app aggiornata), strumento di migrazione per trasferire gli asset verso altri wallet Cardano (previsto per metà agosto, in attesa di audit), e un portale di rimborso basato su zero-knowledge proof che consente di reclamare la compensazione senza rivelare le proprie credenziali (previsto per inizio settembre).
SecondFi sta ancora operando normalmente dopo l’hack?
No. SecondFi ha chiuso definitivamente le operazioni ordinarie e non tornerà a offrire servizi normali. Tutte le risorse del team sono ora dedicate esclusivamente al recupero degli asset e alla distribuzione dei rimborsi agli utenti colpiti.
Come si sta proteggendo SecondFi dalle truffe post-hack?
Il team avverte che SecondFi non contatta mai gli utenti per primo, non richiede mai chiavi private, seed phrase o credenziali wallet, e non invia link non richiesti. Gli utenti devono diffidare di qualsiasi messaggio, estensione o link non verificato attraverso i canali ufficiali del progetto.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
