Cardano With Paul examina os limites da recuperação da SecondFi

Usuários afetados pelo incidente de segurança de junho da SecondFi agora podem verificar quais ativos estão disponíveis para recuperação e solicitar a transferência para uma nova carteira Cardano. A ferramenta foi lançada em 7 de outubro, enquanto a SecondFi encerra suas operações. Em seu passo a passo, Cardano With Paul explica como o processo funciona e onde ele fica aquém de resolver a exposição restante dos usuários.

Como funciona a recuperação da SecondFi

A SecondFi, anteriormente conhecida como Yoroi, possui ferramentas separadas para migração e recuperação.

A migração transfere os ativos que ainda estão em uma carteira, enquanto a recuperação trata dos ativos elegíveis afetados pelo incidente. Isso inclui fundos que especialistas de segurança white hat moveram para custódia usando a mesma vulnerabilidade explorada por invasores maliciosos.

A ferramenta de recuperação verifica os endereços da carteira afetada, exibe os ativos elegíveis e gera uma prova criptográfica que vincula a solicitação a um novo destino. A SecondFi recomenda aguardar até cinco dias úteis para o processamento.

O endereço de recebimento deve pertencer a uma carteira Cardano recém-criada controlada pelo usuário, incluindo uma carteira de hardware. Endereços de depósito de exchanges estão excluídos.

Paul demonstra as verificações iniciais com uma carteira de teste temporária porque não tem nenhuma carteira afetada disponível. Portanto, seu vídeo cobre a interface e as instruções publicadas sem concluir um pagamento real. Ele também relata relatos conflitantes sobre os resultados da recuperação, especialmente para ativos tomados por invasores maliciosos em vez de protegidos por white hats.

Frases de recuperação e limites de compensação

O processo exige a frase de recuperação da carteira afetada para gerar uma prova de conhecimento zero. A documentação da SecondFi descreve o processamento local no navegador, com a prova enviada em vez da frase. Paul questiona a decisão de exigir a inserção por meio de um site e destaca o perigo de portais de imitação. Somente a frase da carteira antiga está envolvida; o novo destino requer seu endereço público de recebimento.

Essa distinção não equivale a uma avaliação de segurança independente. No momento da gravação, Paul não tinha conhecimento de código-fonte publicamente disponível para a ferramenta e confiou na descrição da SecondFi sobre como ela lida com as credenciais da carteira.

Os valores de recuperação também têm limites. A alocação exibida é uma estimativa e pode diferir do retorno final. NFTs elegíveis protegidos para recuperação podem ser devolvidos diretamente; aqueles que não puderem ser devolvidos recebem uma alocação fixa de 30 ADA cada, sem uma avaliação individual. O endereço de destino não pode ser alterado após o envio, e o processo oficial não exige taxa de recuperação nem transferência antecipada de fundos.

Resgates de Midnight permanecem expostos

Usuários que aguardam mais tokens NIGHT por meio do Glacier Drop enfrentam um problema separado. As alocações são liberadas em etapas e são entregues ao endereço Cardano designado durante o processo de reivindicação original. Mover o saldo de uma carteira existente para outro lugar não redireciona essas entregas posteriores.z

Paul considera resgatar os tokens e transferi-los imediatamente para outra carteira, mas descreve uma corrida contra qualquer invasor que esteja monitorando o endereço comprometido. Ele também discute pagar as taxas de resgate a partir de outra carteira, o que ainda deixaria os tokens chegando ao destino original. Nenhuma das abordagens remove o risco de um invasor pegá-los antes que o titular possa agir.

As orientações da SecondFi alertam que futuros resgates de NIGHT enviados para carteiras afetadas podem ser drenados e podem não ser recuperáveis. Um pagamento de recuperação bem-sucedido não restaura a segurança dessas carteiras nem altera o destino registrado para o Glacier Drop. Assim, os usuários podem receber os ativos elegíveis em seu novo endereço enquanto as distribuições subsequentes de Midnight continuam atreladas ao comprometido.