Mise à jour concernant l’incident de sécurité de SecondFi : 374 portefeuilles ont perdu 16,10 millions de jetons ADA

SecondFi a publié le 23 juillet une mise à jour sur son enquête concernant un incident de sécurité, révélant qu’entre le 21 et le 23 juin, 374 portefeuilles ont subi un vol d’environ 16,1 millions d’ADA (environ 2,6 millions de dollars). EMURGO a mandaté un organisme indépendant d’enquête en matière de preuves, Groom Lake, qui conclut que le principal agresseur évalue actuellement s’il existe un recoupement potentiel avec le groupe Lazarus.

Enquête de Groom Lake : deux groupes d’attaquants indépendants et lien présumé avec Lazarus Group

D’après l’enquête indépendante en matière de preuves menée par Groom Lake, mandaté par EMURGO, l’incident implique deux groupes d’attaquants indépendants :

Principal agresseur : Groom Lake indique que, derrière les transferts autorisés, la principale action « est précise, externe et dotée de ressources financières suffisantes », ce qui « montre des indices concordant avec les activités d’acteurs de menaces professionnels, liés à un État » ; certains indices sont en cours d’évaluation quant à un éventuel recoupement avec Lazarus Group (organisation liée aux menaces de la RPDC), mais aucune conclusion finale n’a encore été établie.

Second agresseur : d’après les éléments disponibles, il semblerait que le second ne soit pas lié à l’action principale ; il aurait mené des attaques indépendantes visant différents groupes de portefeuilles pendant la même période, et à ce jour, aucun recoupement n’a été observé entre les portefeuilles touchés.

Cause fondamentale de la faille cryptographique et copie du code GitHub non autorisée

Selon la mise à jour officielle de SecondFi, la cause fondamentale de l’incident réside dans « une faille très subtile dans la manière dont le logiciel de portefeuille génère la signature de chaque transaction » : une valeur qui devrait être dérivée d’informations secrètes peut, dans certaines conditions, être calculée à partir de données de transactions publiques, ce qui pourrait permettre de déduire des informations de clés privées à partir d’éléments visibles sur la blockchain publique.

La même faille cryptographique apparaît aussi dans une copie de code associée qui aurait été publiée sans autorisation sur un dépôt GitHub public ; SecondFi indique qu’il évalue en continu les circonstances entourant la publication du code et qu’il collabore avec les autorités concernées.

Outil de récupération, fonctionnalité d’export de portefeuille et transition de sécurité des utilisateurs

D’après la déclaration officielle de SecondFi, les dispositions suivantes sont prévues :

Statut de la correction de la faille : corrigée ; les nouveaux portefeuilles créés avec le logiciel corrigé ne sont pas affectés

Portefeuilles SecondFi et Yoroi : compte tenu de la gravité de l’incident, il a été décidé de fermer progressivement

Outil de récupération par preuves de connaissance zéro : actuellement en phase de test, avec une publication prévue en août 2026 ; des auditeurs tiers sont en train de l’examiner (non encore terminé)

Fonctionnalité d’export du portefeuille : elle permet aux utilisateurs de transférer leurs actifs vers d’autres portefeuilles de leur choix, avec une publication prévue début août 2026

Alerte de sécurité : SecondFi souligne qu’il ne contactera pas les utilisateurs de manière proactive par message privé, et qu’il ne demandera pas de fournir une clé privée ou une phrase de récupération

FAQ

Quel est le montant d’ADA volé et le nombre de portefeuilles touchés lors de l’incident de sécurité de SecondFi ?

D’après la mise à jour officielle de SecondFi du 23 juillet 2026, entre le 21 et le 23 juin 2026, environ 16,1 millions d’ADA (environ 2,6 millions de dollars) ont été volées depuis 374 portefeuilles.

Quelle est la conclusion de l’organisme d’enquête Groom Lake concernant l’identité des attaquants ?

D’après l’enquête de Groom Lake, les indices concernant le principal agresseur « concordent avec les activités d’acteurs de menaces professionnels, liés à un État » ; certains indices sont en cours d’évaluation quant à une éventuelle superposition avec Lazarus Group (organisation liée aux menaces de la RPDC), mais aucune détermination finale n’a encore été faite ; en outre, un autre agresseur indépendant, ciblant différents groupes de portefeuilles, ne présente aucun recoupement avec le principal agresseur.

Quand les outils de récupération et la fonctionnalité d’export de portefeuille de SecondFi seront-ils publiés ?

D’après la déclaration officielle de SecondFi, l’outil de récupération basé sur les preuves de connaissance zéro est actuellement en phase de test et devrait être publié en août 2026 ; la fonctionnalité d’export du portefeuille devrait être publiée début août 2026 ; les dates précises seront confirmées par les annonces via les canaux officiels de SecondFi.