Cardano-Wallet SecondFi stellt Betrieb ein nach Diebstahl von 16,1 Millionen ADA

Laut übereinstimmenden Berichten von CoinDesk und Cointelegraph hat der Cardano-Wallet-Dienst SecondFi seinen Betrieb nach einem schwerwiegenden Sicherheitsvorfall eingestellt: Angreifer erbeuteten rund 16,1 Millionen ADA aus 374 Nutzer-Wallets — je nach Quelle im Gegenwert von 2,4 bis 2,6 Millionen US-Dollar. Für deutsche Krypto-Nutzer ist der Fall aus einem bestimmten Grund besonders aufschlussreich: Nicht das Cardano-Netzwerk selbst wurde geknackt, sondern die Software des Dienstleisters — ein Unterschied, der für die eigene Wallet-Wahl entscheidend sein kann.

Wie ein Fehler im Signatur-Code Tausende Wallets angreifbar machte

Im Zentrum des Vorfalls steht ein kryptografischer Implementierungsfehler in der Transaktions-Signing-Software von SecondFi — also der Komponente, die beim Absenden einer Zahlung eine digitale Unterschrift erzeugt. Laut übereinstimmenden Berichten von CoinDesk und Cointelegraph hinterließ dieser Fehler Spuren des Private Keys — des geheimen Schlüssels, der allein über das Guthaben eines Wallets verfügt — in öffentlich einsehbaren Transaktionsdaten auf der Cardano-Blockchain. Wer diese Rohdaten gezielt auswertete, konnte daraus den Schlüssel rekonstruieren und die betroffenen Wallets leeren.

Der Angreifer traf insgesamt 374 Nutzerkonten. Der von EMURGO — dem Unternehmen hinter dem Vorgänger-Wallet Yoroi — beauftragte Analyse-Dienst Groom Lake stufte den Täter laut beiden Medien als hochentwickelt und gut finanziert ein. Es gibt Hinweise auf Nordkoreas Lazarus Group, eine offizielle Bestätigung steht jedoch aus. Hardware-Wallets — externe Geräte, die den Private Key offline speichern — waren laut beiden Quellen nicht betroffen.

Warum ein Fehler in der Software gefährlicher sein kann als ein Angriff auf die Blockchain

Der Fall SecondFi illustriert ein Missverständnis, das sich hartnäckig hält: Viele Nutzer setzen "Krypto ist sicher" mit "mein Wallet-Dienst ist sicher" gleich. Das sind zwei sehr verschiedene Dinge. Das Cardano-Netzwerk hat in diesem Vorfall einwandfrei funktioniert — die Schwachstelle lag allein in der Art, wie SecondFi Transaktionen technisch verarbeitete und dabei versehentlich Schlüsselmaterial nach außen trug. Das Netzwerk ist die Autobahn; der Wallet-Dienst ist das Fahrzeug. Wenn das Fahrzeug kaputt ist, hilft die beste Straße nichts.

Besonders bemerkenswert: Wer seine ADA auf einem Hardware Wallet — einem speziellen physischen Gerät, das den privaten Schlüssel offline speichert — verwaltete, war laut beiden Quellen nicht betroffen. Das ist kein Zufall, sondern Systemdesign: Ein Hardware Wallet signiert Transaktionen intern und gibt den privaten Schlüssel niemals an Software weiter. Genau dieser Mechanismus hätte hier den Angriff ins Leere laufen lassen.

Die mögliche Beteiligung der nordkoreanischen Lazarus Group — unbestätigt, aber von einem beauftragten Ermittler als Hinweis gewertet — sollte niemanden überraschen. Staatlich organisierte Hackergruppen haben in den vergangenen Jahren mehrfach gezielt Krypto-Dienste angegriffen, weil dort in kurzer Zeit große Summen ohne Bankschalter und Grenzkontrollen bewegt werden können. Das ist kein abstraktes Sicherheitsproblem, sondern geopolitische Realität.

Für deutsche Nutzer gilt: Ein Wallet-Dienst ist nicht automatisch vertrauenswürdig, weil er auf einer bekannten Blockchain aufbaut. Die Frage lautet immer: Wer oder was verwahrt meinen Private Key — und wie?

Wenn die App das Problem ist, nicht die Blockchain

SecondFi war der Nachfolger von Yoroi, einem Wallet — also einer digitalen Brieftasche für Kryptowährungen — des Cardano (ADA)-Entwicklers EMURGO. Eine Wallet-Software verwaltet im Kern den sogenannten Private Key: einen geheimen Code, der beweist, dass einem bestimmte Coins gehören und der Transaktionen autorisiert. Wer diesen Schlüssel kennt, kontrolliert das Guthaben — vollständig und unwiderruflich.

Genau hier lag das Problem bei SecondFi: Die Software enthielt einen Fehler in der Art, wie sie Transaktionen signierte. Dadurch ließ sich der Private Key aus öffentlich sichtbaren Blockchain-Daten rekonstruieren — ein Angreifer musste also nur mitlesen, was ohnehin für alle einsehbar ist.

Wichtig: Hardware-Wallets — physische Geräte, die den Private Key offline speichern — waren von diesem Fehler nicht betroffen, weil sie das Signing intern abwickeln, ohne das Schlüsselmaterial der App preiszugeben.

Häufige Fragen

Quellen

• CoinDesk
• Cointelegraph