Charles Hoskinson: SecondFi App kompromittiert, Cardano Protokoll unberührt

Charles Hoskinson gab am 24. Juni 2026 ein neues Live Update heraus, nachdem er minifiziertes TypeScript aus der SecondFi Anwendung geprüft und eine unabhängige forensische Analyse des Wallet Vorfalls durchgeführt hatte. Das Update konzentrierte sich darauf, wie der Angriff offenbar ablief, warum der Fall auf den Anwendungscode von SecondFi hindeutet und warum die verfügbaren Belege nicht auf einen Ausfall in Cardanos Protokoll, Kernknoten, Open Source Wallet Bibliotheken oder grundlegender Kryptografie hinweisen.

Sicherheit des Cardano Protokolls vom SecondFi Vorfall getrennt

Hoskinsons Überprüfung untersuchte, ob sich der SecondFi Vorfall auf eine einzelne Anwendung beschränkte oder mit einem weiter gefassten Problem in Cardanos kryptografischer Lieferkette verbunden war. Seine Einschätzung ergab keine Hinweise darauf, dass die Open Source kryptografischen Cardano Bibliotheken, die von den meisten Wallets im Ökosystem verwendet werden, kompromittiert wurden.

Die technische Überprüfung umfasste Schlüsselableitung, Signaturerstellung, Generierung von Wiederherstellungswörtern, HD Wallet Mechanik und UTXO Auswahl. Diese Komponenten wurden als konsistent mit der Open Source Infrastruktur beschrieben, die vor dem Vorfall in Cardano Wallets verwendet wurde.

Die auffälligen Transaktionen im Zusammenhang mit SecondFi waren hingegen an die Closed Source Codebasis der Anwendung gebunden, die von Open Source Standards abgewandelt worden war. Diese Unterscheidung ist zentral für das Update. Cardanos Netzwerk, Knoten, Kryptografie auf Protokollebene und Open Source Wallet Infrastruktur wurden von dem vermuteten Ausfall innerhalb einer spezifischen Wallet Anwendung getrennt.

SecondFi Code und Wallet Audit Standards rücken in den Fokus

Die nächste Phase des Falls hängt nun von einem unabhängigen Audit ab. Von diesem Prozess wird erwartet, dass er erklärt, wie der Vorfall entstand, wer verantwortlich war und welcher Abhilfeplan den betroffenen Nutzern angeboten wird.

Hoskinson vermied es, den spezifischen technischen Angriffsweg vor weiteren Offenlegungen durch Emurgo oder das SecondFi Team zu veröffentlichen. Stattdessen stellte das Update formale Verifikation, Audit Disziplin und Verantwortlichkeit auf Anwendungsebene in den Mittelpunkt der Untersuchung.

Der Vorfall eröffnete auch die breitere Frage nach Wallet Standards im Cardano Ökosystem erneut. Lace und Daedalus wurden als Beispiele für Wallet Software genannt, die mit Blick auf Open Source Sichtbarkeit und externe Überprüfung entwickelt wurde. Die weiter gefasste Position im Update war, dass Wallet Code, der Nutzervermögen verarbeitet, Open Source sein, regelmäßig geprüft werden und mit gemeinsamer Prüfung gepflegt werden sollte, wenn kryptografische Komponenten das breitere Ökosystem betreffen.

Die Sorge betraf nicht nur die Existenz einer Schwachstelle. Das tiefer liegende Problem ist die Änderung sensiblen kryptografischen Codes außerhalb öffentlicher Überprüfung. Für Wallet Entwickler rückt der SecondFi Fall nun Anwendungsdesign, kryptografische Implementierung, Audithistorie und Open Source Transparenz direkt in die Sicherheitsdebatte.

Benutzersicherheit, White Hat Behauptungen und Abhilfeplan

Das Update ging auch auf frühe Behauptungen ein, wonach einige Gelder von einem White Hat Akteur und nicht vom Angreifer bewegt worden sein könnten. Diese Behauptung erfordert weiterhin eine Bestätigung durch den Audit Prozess oder einen offiziellen Abhilfeplan, wodurch die Verfahren zur Wiedererlangung und Rückgabe von Geldern ungeklärt bleiben.

Hoskinson ging auch der Frage nach, ob die 24 Wiederherstellungswörter der Wallet kompromittiert wurden. Auf Basis des von ihm geprüften Codes schienen die Wiederherstellungswörter selbst zu diesem Zeitpunkt nicht kompromittiert zu sein. Das Update wies zudem darauf hin, dass dies ohne vollen Zugriff auf den vollständigen Schlüsselableitungsprozess schwer zu verifizieren ist, insbesondere wenn Wallets in Yoroi erstellt und später in SecondFi importiert wurden oder direkt in SecondFi erzeugt wurden.

Bis Audit und Abhilfeprozess abgeschlossen sind, sollte die SecondFi Anwendung als kompromittiert betrachtet werden. Der im Update beschriebene sicherste Ansatz ist, Schlüssel unangetastet zu lassen und Transaktionen über eine SecondFi Wallet zu vermeiden.

Das Update klärte auch die Grenzen der Rolle von Input Output. Das Unternehmen hat keine besondere Befugnis, Gelder auf Protokollebene einzufrieren, rückgängig zu machen oder wiederzuerlangen. Cardano enthält keine Interventionsmechanismen dieser Art, was das Netzwerk mit einem globalen Kryptowährungsmodell in Einklang bringt, bei dem kein einzelnes Unternehmen oder Individuum die Guthaben der Nutzer kontrolliert.

Die Untersuchung hängt nun von drei konkreten Ergebnissen ab, einem unabhängigen Audit, einer technischen Erklärung der für SecondFi verantwortlichen Teams und einem Abhilfeplan für Nutzer. Für das breitere Cardano Ökosystem verengt das Live Update den Fall auf Anwendungscode, Closed Source Wallet Änderungen und Audit Verantwortlichkeit, während die Protokollebene, Open Source Wallet Bibliotheken und die grundlegende kryptografische Infrastruktur außerhalb des gemeldeten Ausfalls bleiben.