Cardano With Paul examina los límites de la recuperación de SecondFi

Los usuarios afectados por el incidente de seguridad de SecondFi en junio ahora pueden comprobar qué activos están disponibles para la recuperación y solicitar la entrega a una nueva cartera de Cardano. La herramienta se lanzó el 7 de octubre mientras SecondFi reduce sus operaciones. En su guía, Cardano With Paul explica cómo funciona el proceso y en qué aspectos no logra resolver la exposición restante de los usuarios.

Cómo funciona la recuperación de SecondFi

SecondFi, anteriormente conocida como Yoroi, tiene herramientas separadas para migración y recuperación.

La migración mueve los activos que aún se mantienen en una cartera, mientras que la recuperación se ocupa de los activos elegibles afectados por el incidente. Estos incluyen fondos que especialistas de seguridad white hat trasladaron a resguardo utilizando la misma vulnerabilidad explotada por atacantes maliciosos.

La herramienta de recuperación verifica las direcciones de la cartera afectada, muestra los activos elegibles y genera una prueba criptográfica que vincula la solicitud con un nuevo destino. SecondFi recomienda permitir hasta cinco días laborables para el procesamiento.

La dirección receptora debe pertenecer a una cartera de Cardano recién creada controlada por el usuario, incluida una cartera de hardware. Se excluyen las direcciones de depósito de exchanges.

Paul demuestra las comprobaciones iniciales con una cartera de prueba temporal porque no tiene disponible una cartera afectada. Por lo tanto, su video cubre la interfaz y las instrucciones publicadas sin completar un pago real. También informa de relatos contradictorios sobre los resultados de la recuperación, en particular para activos tomados por atacantes maliciosos en lugar de asegurados por white hats.

Frases de recuperación y límites de compensación

El proceso requiere la frase de recuperación de la cartera afectada para generar una prueba de conocimiento cero. La documentación de SecondFi describe un procesamiento local en el navegador, con el envío de la prueba en lugar de la frase. Paul cuestiona la decisión de exigir la introducción a través de un sitio web y destaca el peligro de portales de imitación. Solo interviene la frase de la cartera antigua, el nuevo destino requiere su dirección pública de recepción.

Esa distinción no equivale a una evaluación de seguridad independiente. En el momento de la grabación, Paul no conocía código fuente disponible públicamente para la herramienta y se basaba en la descripción de SecondFi sobre cómo maneja las credenciales de la cartera.

Los importes de recuperación también tienen límites. La asignación mostrada es una estimación y puede diferir del retorno final. Los NFT elegibles asegurados para recuperación pueden devolverse directamente, aquellos que no puedan devolverse reciben una asignación fija de 30 ADA cada uno, sin una valoración individual. La dirección de destino no se puede cambiar después del envío, y el proceso oficial no requiere tarifa de recuperación ni transferencia anticipada de fondos.

Los canjes de Midnight siguen expuestos

Los usuarios que esperan más tokens NIGHT a través de Glacier Drop se enfrentan a un problema independiente. Las asignaciones se desbloquean por etapas y se entregan a la dirección de Cardano designada durante el proceso de reclamo original. Mover el saldo de una cartera existente a otro lugar no redirige esas entregas posteriores.z

Paul considera canjear los tokens y transferirlos de inmediato a otra cartera, pero describe una carrera contra cualquier atacante que esté monitoreando la dirección comprometida. También analiza pagar las tarifas de canje desde otra cartera, lo que aun así dejaría que los tokens llegaran al destino original. Ninguno de los enfoques elimina el riesgo de que un atacante los tome antes de que el titular pueda actuar.

La guía de SecondFi advierte que futuros canjes de NIGHT enviados a carteras afectadas pueden ser vaciados y pueden no ser recuperables. Un pago de recuperación exitoso no restaura la seguridad de esas carteras ni cambia el destino registrado para Glacier Drop. Por lo tanto, los usuarios pueden recibir activos elegibles en su nueva dirección mientras que las distribuciones posteriores de Midnight permanecen vinculadas a la comprometida.