Cardano-Gründer Charles Hoskinson sagt, die Blockchain wurde nicht gehackt. Der SecondFi-Wallet-Vorfall geht auf modifizierten Closed-Source-Code zurück, so seine Aussage.
Die Schlagzeile schrieb sich von selbst: Cardano wurde gehackt. Doch das stimmt nicht. Charles Hoskinson sagte genau das am 24. Juni in einer Übertragung aus Colorado, die er als nächtliche Sitzung bezeichnete, in der er Code auseinandernahm, den er nicht hätte auseinandernehmen müssen.
SecondFi, die ehemals als Yoroi bekannte Wallet, meldete einen Sicherheitsvorfall im Zusammenhang mit ihrer nativen Web-Wallet-Generierungssoftware. Berichte, die zu Beginn dieser Woche kursierten, bezifferten die Verluste auf etwa 16 Millionen ADA, wobei auch NFTs und andere Token aus ungefähr 178 Self-Custody-Wallets entwendet wurden. Genaue Zahlen wurden nicht unabhängig überprüft. Der Wallet-Generierungsfehler legte zum Zeitpunkt der Wallet-Erstellung private Schlüssel offen, so die damalige Berichterstattung.
Hoskinson hatte etwas anderes im Kopf. Die Frage, die er beantwortet haben wollte, war nicht das Ausmaß des Verlusts. Er wollte wissen, ob irgendetwas in Cardanos eigener kryptografischer Schicht angefasst worden war.
Cardano ist hier nicht das Problem
Seine Antwort, nachdem er SecondFis minimierten TypeScript-Code zerlegt hatte: nein. Die Open-Source-Kryptografiebibliotheken, die von der überwältigenden Mehrheit der Cardano-Wallets verwendet werden, so sagte er auf YouTube, scheinen genauso zu sein wie vor all dem. Schlüsselableitung, HD-Wallet-Logik, UTXO-Auswahl – nichts davon, so seine Überprüfung, sieht angefasst aus.
Was anders aussieht, ist der Closed-Source-Code. Hoskinson sagte, die anomalen Transaktionen scheinen mit SecondFis proprietärer Schicht verbunden zu sein, insbesondere mit Code, der vom von Cardano gepflegten Open-Source-Standard abgeändert wurde. Diese Unterscheidung – er kam immer wieder darauf zurück.
Wie Cardanianer auf X am 23. Juni anmerkten, handelte es sich nicht um eine Kompromittierung der Cardano-Blockchain. Der Account schrieb, dass die Ursache in SecondFis nativer Web-Wallet-Generierungssoftware lag, nicht in der Chain. Laut Hoskinson ist diese Einordnung zutreffend.
Was der zerlegte Code tatsächlich zeigte
Er sagte, er sei in der Lage gewesen, den Angriff zu reproduzieren. Wie, das werde er nicht sagen. Unabhängige Audits haben Vorrang, erklärte er, und Emurgo müsse diese Offenlegung anführen. Seine Einschätzung ist, dass die von den betroffenen Nutzern verwendeten 24-Wort-Seed-Phrasen möglicherweise nicht selbst kompromittiert sind. Die Dinge, die nachträglich aus diesen Schlüsselwörtern abgeleitet wurden, das ist eine andere Geschichte.
Die Open-Source-Infrastruktur, die Cardano über Jahre aufgebaut hat, wurde genau für diese Art von Druck gebaut. Hoskinsons Position, die er bereits vor diesem Vorfall vertrat und die durch ihn offenbar bestätigt wurde: Kryptografischer Code, der das breitere Ökosystem betrifft, sollte von einem Zusammenschluss von Entitäten entwickelt werden, nicht von einem einzigen Anbieter. Das sagte er unverblümt.
Input Output hat keine Befugnis, Gelder einzufrieren oder Transaktionen rückgängig zu machen. Hoskinson war diesbezüglich direkt. Cardano wurde als echte Kryptowährung konzipiert, und kein einzelner Akteur verfügt über diese Eingriffsbefugnisse. Das, so sagte er, ist beabsichtigt.
White-Hat-Aktivitäten und was als Nächstes kommt
Einige Gelder, die sich nach dem Vorfall bewegten, wurden möglicherweise gar nicht vom Angreifer bewegt. Hoskinson sagte, er habe Berichte über White-Hat-Aktivitäten gehört, wobei einige Vermögenswerte auf diesem Weg Berichten zufolge zurückgewonnen wurden. Er sagte, er freue sich darauf, mehr darüber zu erfahren, wie diese Gelder zurückgegeben werden.
Sein Rat an alle, die eine Wallet besitzen, die mit SecondFis System in Berührung gekommen ist: Lassen Sie die Schlüssel ruhen. Führen Sie keine Transaktionen durch. Er bezeichnete die gesamte Anwendung als kompromittiert, bis ein unabhängiges Audit etwas anderes sagt und ein formeller Behebungsprozess läuft.
Die Krypto-Medienberichterstattung, sagte er, sei genau das gewesen, was er erwartet hatte. Er nannte sie, in seinen Worten, „KI-Schrott-Journalismus mit geringer Integrität, Müll“. Dann wandte er sich dem technischen Teil zu. SecondFi wurde in den Wartungsmodus versetzt. Die unabhängige Überprüfung steht noch aus.
Schreibe einen Kommentar