Cardano With Paul esamina i limiti del recupero di SecondFi

Gli utenti colpiti dall'incidente di sicurezza di giugno di SecondFi possono ora verificare quali asset sono disponibili per il recupero e richiederne la consegna a un nuovo wallet Cardano. Lo strumento è stato lanciato il 7 ottobre mentre SecondFi riduce le sue operazioni. Nella sua guida, Cardano With Paul spiega come funziona il processo e dove non riesce a risolvere l'esposizione residua degli utenti.

Come funziona il recupero di SecondFi

SecondFi, precedentemente conosciuta come Yoroi, dispone di strumenti separati per migrazione e recupero.

La migrazione sposta gli asset ancora detenuti in un wallet, mentre il recupero riguarda gli asset idonei colpiti dall'incidente. Questi includono fondi che specialisti di sicurezza white hat hanno trasferito in custodia utilizzando la stessa vulnerabilità sfruttata da attaccanti malevoli.

Lo strumento di recupero controlla gli indirizzi del wallet interessato, mostra gli asset idonei e genera una prova crittografica che collega la richiesta a una nuova destinazione. SecondFi consiglia di attendere fino a cinque giorni lavorativi per l'elaborazione.

L'indirizzo ricevente deve appartenere a un wallet Cardano appena creato e controllato dall'utente, inclusi i wallet hardware. Gli indirizzi di deposito degli exchange sono esclusi.

Paul dimostra i controlli iniziali con un wallet di prova temporaneo perché non ha a disposizione un wallet interessato. Il suo video quindi copre l'interfaccia e le istruzioni pubblicate senza completare un effettivo pagamento. Riporta anche resoconti contrastanti sugli esiti del recupero, in particolare per gli asset sottratti da attaccanti malevoli invece che messi al sicuro dai white hat.

Frasi di recupero e limiti di compensazione

Il processo richiede la frase di recupero del wallet interessato per generare una prova a conoscenza zero. La documentazione di SecondFi descrive un'elaborazione locale nel browser, con l'invio della prova al posto della frase. Paul mette in discussione la decisione di richiedere l'inserimento tramite un sito web e sottolinea il pericolo di portali di imitazione. È coinvolta solo la frase del vecchio wallet; la nuova destinazione richiede il suo indirizzo pubblico di ricezione.

Questa distinzione non equivale a una valutazione di sicurezza indipendente. Al momento della registrazione, Paul non era a conoscenza di codice sorgente pubblico per lo strumento e si affidava alla descrizione di SecondFi su come gestisce le credenziali del wallet.

Anche gli importi di recupero hanno dei limiti. L'allocazione mostrata è una stima e può differire dal ritorno finale. Gli NFT idonei messi al sicuro per il recupero possono essere restituiti direttamente; quelli che non possono essere restituiti ricevono un'allocazione fissa di 30 ADA ciascuno, senza una valutazione individuale. L'indirizzo di destinazione non può essere modificato dopo l'invio e il processo ufficiale non richiede né una commissione di recupero né un trasferimento anticipato di fondi.

I riscatti Midnight restano esposti

Gli utenti in attesa di ulteriori token NIGHT tramite Glacier Drop affrontano un problema distinto. Le allocazioni si sbloccano a fasi e vengono consegnate all'indirizzo Cardano designato durante il processo di claim originale. Spostare altrove il saldo di un wallet esistente non reindirizza quelle consegne successive.

Paul prende in considerazione di riscattare i token e trasferirli immediatamente a un altro wallet, ma descrive una corsa contro eventuali attaccanti che monitorano l'indirizzo compromesso. Discute anche il pagamento delle commissioni di riscatto da un altro wallet, il che lascerebbe comunque i token in arrivo alla destinazione originale. Nessuno dei due approcci elimina il rischio che un attaccante li prenda prima che il titolare possa agire.

Le indicazioni di SecondFi avvertono che futuri riscatti di NIGHT inviati a wallet interessati potrebbero essere svuotati e potrebbero non essere recuperabili. Un pagamento di recupero riuscito non ripristina la sicurezza di quei wallet né modifica la destinazione registrata per Glacier Drop. Gli utenti possono quindi ricevere gli asset idonei al loro nuovo indirizzo mentre le distribuzioni successive di Midnight restano legate a quello compromesso.