Self-custody neofinance platformu SecondFi, Haziran ayında yaşanan yaklaşık 2 milyon dolarlık Cardano cüzdan açığının ardından etkilenmiş kullanıcıların varlıklarını kurtarabilmesi için yeni bir kurtarma aracı tasarladı.
Ancak güvenlik endişeleri nedeniyle bu araç henüz tam olarak kullanıma sunulmadı. SecondFi, kurtarma mekanizmasının güvenliğini sağlamak adına teknolojisinin bağımsız güvenlik denetimlerini yaptırıyor ve ilgili akıllı kontrat için ek bir denetim planlıyor.
SecondFi, açığın nedenini yazılımındaki deterministik nonce türetme hatası olarak belirledi. Bu hata sayesinde saldırganlar, etkilenmiş adresler işlem imzaladıktan sonra özel anahtarları matematiksel olarak yeniden oluşturabildi.
Ağustos ayında SecondFi, etkilenen kullanıcıların cüzdan kontrolünü özel anahtar, seed phrase veya türetme yolu açıklamadan ispat edebilmelerini sağlayan sıfır bilgi ispatları (ZKP) kullanan proof-tool deposunun denetimi için zkSecurity ile anlaştı. Sistem, kullanıcıların gizli bilgilerini bir uzak sunucuya göndermek yerine tarayıcı üzerinden yerel olarak ispat oluşturmasına olanak tanıyor.
Denetim raporuna göre zkSecurity, upstream kodda iki yüksek şiddetli güvenlik açığı tespit etti ve SecondFi bu açıkları giderdi. Düzeltmeler test edildi ve onaylandı. Ayrıca, SecondFi’nin kendi deposunda bulunan ve pratikte istismar riski taşımayan iki düşük şiddetli sorun hala açık durumda.
SecondFi, kurtarma aracını gelecek haftalarda kullanıma sunmayı hedefliyor ancak bunun denetim sürecinin tamamlanması ve nihai kontrollerin yapılmasına bağlı olduğunu belirtti.