Reloj de recuperación de SecondFi: cómo un error de billetera de Cardano se convirtió en una historia de seguridad de frase de recuperación

Imagina esto. Te despiertas, abres tu billetera de Cardano y el saldo que revisaste anoche ha desaparecido. No fue un ataque de polvo. No fue un clic equivocado. Simplemente vacío. Esa fue la realidad para cientos de usuarios de SecondFi durante un largo fin de semana de junio.

A mediados de semana, un error de generación de billetera se había convertido en algo más grande: una historia sobre la seguridad de la frase de recuperación. La gente asumía que importar su frase en una aplicación diferente los salvaría. No fue así. La exposición estaba a nivel de dirección y reaparecía en el momento en que una dirección afectada firmaba cualquier cosa.

SecondFi y EMURGO entraron en modo de triaje. Los datos en cadena comenzaron a pintar un panorama más claro y un reloj de recuperación comenzó a correr.

SecondFi reveló una vulnerabilidad en la generación de billeteras de Cardano tras vaciados coordinados entre el 21 y el 23 de junio de 2026. Los primeros recuentos apuntaban a aproximadamente 16 millones de ADA tomados de 374 direcciones en tres vaciados principales, según los primeros reportes de CoinDesk. Ese fue el primer análisis. La forensia amplió el enfoque.

La reconstrucción de Bitquery identificó dos oleadas y una gran dirección de consolidación, con una bóveda de segunda oleada que acumulaba 129.430.001 ADA para el 23 de junio. Su trabajo también registró aproximadamente 3.072 billeteras víctimas vaciadas en ambas oleadas, muy por encima de la primera estimación de direcciones afectadas. Consulta el análisis en cadena de Bitquery.

El punto clave tanto de Bitquery como de SecondFi: el fallo era a nivel de dirección. Importar una frase de recuperación afectada en una billetera de Cardano diferente no eliminaba el riesgo. El riesgo aparecía cuando una dirección afectada firmaba una transacción en cualquier momento, según la advertencia conjunta recogida en el informe de Bitquery y las actualizaciones de SecondFi (Bitquery / SecondFi).

Qué salió mal exactamente en las billeteras de SecondFi

SecondFi ha hecho referencia a una vulnerabilidad en la generación de billeteras. Esto apunta a problemas en la forma en que se derivaron, almacenaron o utilizaron las direcciones o claves durante la firma. No necesitamos la línea exacta de código para entender el alcance del daño: si una dirección creada bajo ese proceso era defectuosa, la clave privada que la protegía no era fiable. Utilizarla más tarde, en cualquier lugar, podía exponer los fondos.

Fallo a nivel de dirección vs. fallo a nivel de frase de recuperación

Un fallo a nivel de frase de recuperación enveneraría cada cuenta derivada de ella. Un fallo a nivel de dirección puede ser más sigiloso. Podrías tener una o más direcciones creadas en condiciones inseguras, mientras que otras bajo la misma frase de recuperación parecen estar bien. Pero en el momento en que una de esas direcciones comprometidas firma una transacción, corres el riesgo de un vaciado.

Por eso las instrucciones oficiales fueron tan específicas. Bitquery y SecondFi advirtieron que simplemente volver a importar tu frase en otra billetera no neutraliza el problema. La vulnerabilidad reside en el historial de la dirección y la ruta de firma, no en la interfaz de usuario (Bitquery / SecondFi).

¿Qué puede hacer realmente un usuario?

Si usaste SecondFi y crees que fuiste afectado, la postura más segura es dejar de interactuar con cualquier dirección generada durante la ventana de exposición. No firmes desde esas direcciones. No hagas pruebas con pequeñas cantidades. Tratalas como comprometidas hasta que el proceso forense y el plan de recuperación del proveedor demuestren lo contrario.

1. Pausa toda actividad desde las direcciones potencialmente afectadas. No firmes nada desde ellas.
2. Genera una billetera de Cardano completamente nueva usando una ruta de confianza y una frase de recuperación nueva que nunca hayas usado antes.
3. Espera el flujo de recuperación de SecondFi y EMURGO si tus fondos ya fueron vaciados. Si aún tienes ADA en direcciones que sospechas que están afectadas, busca instrucciones específicas del proveedor antes de moverlos. El acto de firmar podría ser el desencadenante.
4. Registra tu nueva frase de recuperación de forma offline. No la importes en múltiples lugares. Mantenla separada de entornos más antiguos y posiblemente expuestos.

Aquí no hay botones mágicos. Es postura, paciencia e higiene operativa limpia.

Cómo se desarrollaron los vaciados en cadena

Tenemos dos versiones de la misma historia: la instantánea inicial y el mosaico completo después de que los investigadores rastrearon los flujos.

Números que cambiaron a medida que el panorama se aclaraba

Los primeros recuentos de pérdidas se centraron en 16 millones de ADA en 374 direcciones en tres vaciados (CoinDesk). El análisis más profundo de Bitquery mapeó dos oleadas principales e identificó una gran dirección de consolidación que acumulaba 129.430.001 ADA para el 23 de junio, más un recuento mucho mayor de billeteras afectadas, alrededor de 3.072 en ambas oleadas (Bitquery). Esos totales cubren rastros que van más allá de la contabilidad superficial inicial.

Una breve cronología desde la divulgación hasta la planificación de la recuperación

Fecha (2026) Evento Fuente 21–23 de junio Eventos de vaciado coordinados vinculados a un fallo de generación de billeteras; múltiples vaciados observados CoinDesk, Bitquery 24 de junio Emerge un panorama más amplio en cadena; la bóveda de segunda oleada muestra ~129,43M ADA; ~3.072 víctimas identificadas en ambas oleadas Bitquery 26 de junio EMURGO/SecondFi completan la forensia y toman una instantánea final del saldo para anclar la recuperación The Block 27 de junio Se publica la hoja de ruta de recuperación, con el objetivo de comenzar a devolver fondos en aproximadamente dos semanas The Block

¿Quién estaba exactamente en el radio de impacto?

Si te preguntas por qué tanto 374 direcciones como ~3.072 víctimas aparecen en los reportes, se reduce a alcance y tiempo. Los primeros recuentos suelen centrarse en los primeros grupos claramente vinculados. La forensia posterior abarca rutas secundarias y consolidaciones. Las direcciones, billeteras y usuarios no tienen una relación uno a uno. Muchos usuarios tienen múltiples direcciones, y la agrupación de ataques puede difuminar las líneas. Trata ambos números como partes del mismo mapa en desarrollo, no como contradicciones.

Por qué la seguridad de la frase de recuperación tomó protagonismo

La parte más contraintuitiva de esta saga es que cambiar de aplicación de billetera no arregla un pasado defectuoso. Si una dirección nació bajo un proceso fallido, el peligro viaja con ella. Puedes instalar el software más auditado del planeta. Si importas la misma frase y luego firmas desde una dirección previamente comprometida, podrías estar de vuelta en la zona de impacto. Este fue el núcleo de las advertencias de SecondFi recogidas en el informe de Bitquery (Bitquery / SecondFi).

Cómo luce la seguridad a partir de ahora

Piensa en capas. Tu elección de billetera importa, claro. Pero tu flujo operativo importa más. Cuando sospechas cualquier exposición, rotas.

Acción Qué soluciona Advertencias Crea una billetera completamente nueva con una frase de recuperación nueva Segrega la actividad futura de cualquier exposición histórica a nivel de dirección No recupera las pérdidas pasadas; sigue los pasos de recuperación del proveedor Evita importar frases antiguas en aplicaciones nuevas Evita reactivar direcciones comprometidas en otra interfaz Inconveniente, pero más seguro tras sospechar problemas a nivel de dirección Mantén las frases de recuperación offline y singulares Reduce la posibilidad de filtraciones entre múltiples aplicaciones y phishing Requiere almacenamiento y backups externos disciplinados Monitorea solo los anuncios oficiales de recuperación Ayuda a evitar portales impostores y formularios de reembolso falsos Los estafadores falsificarán nombres de marcas durante los incidentes

En definitiva. La higiene de la frase de recuperación no es solo escribir palabras en papel. Es cómo, dónde y cuándo las reutilizas. En incidentes como este, la reutilización puede ser el detonador oculto.

Dentro del reloj de recuperación: instantáneas, criterios, pagos

Una vez que el polvo se asentó, EMURGO y SecondFi dijeron que terminaron el trabajo forense y tomaron una instantánea final del saldo el 26 de junio de 2026. La hoja de ruta pública apuntaba a comenzar las devoluciones en aproximadamente dos semanas. Una semana para construir el mecanismo de recuperación. Una semana para probarlo de extremo a extremo, según reportó The Block.

Lo que eso probablemente significa en la práctica

1. Congelar el panorama. Usar la instantánea del 26 de junio como el libro de cuentas final de los saldos afectados.
2. Mapear reclamaciones a direcciones. Vincular cada dirección afectada y su saldo a un reclamante con pruebas sólidas.
3. Construir y probar un mecanismo de pago controlado. Minimizar las firmas nuevas desde rutas comprometidas.
4. Implementar en lotes. Comenzar con un pequeño grupo para validar los supuestos, luego escalar.
5. Publicar criterios de elegibilidad claros y canales de disputas. Esperar casos límite y UTXOs extraviados.

Advertencia importante: los proveedores no siempre revelan la logística exacta de pagos por adelantado por razones de seguridad. Las fechas clave para el usuario aquí son la instantánea y la ventana de construcción y prueba de dos semanas. Si eres un reclamante, mantén tu documentación ordenada y sigue solo las instrucciones publicadas en canales oficiales.

Qué significa esto para el diseño de billeteras de Cardano

Incidentes como este plantean preguntas difíciles a cualquier ecosistema. Algunas lecciones probablemente darán forma al desarrollo de billeteras de Cardano en los próximos trimestres.

El determinismo necesita verificación, no solo estándares

Los estándares solos no son suficientes. Los equipos necesitan compilaciones reproducibles, vectores de prueba independientes y verificaciones de direcciones entre implementaciones para que la misma frase de recuperación produzca las mismas rutas seguras en cada cliente. Si un cliente diverge silenciosamente, los usuarios heredan ese riesgo sin saberlo.

La prueba de seguridad es un proceso, no una insignia

Los informes de auditoría ayudan, pero son instantáneas. Las billeteras evolucionan mensualmente. Las fuentes de entropía seguras, el aislamiento de rutas de claves y el modelado de amenazas deben estar integrados en el ciclo de lanzamiento. Los buenos proveedores invitan a pruebas de regresión y facilitan la verificación de derivaciones entre herramientas antes de que los fondos reales toquen las direcciones.

Controles de usuario que reducen el radio de impacto

Los usuarios se benefician de controles ligeros: advertencias de firma por cuenta, fricción al reutilizar direcciones antiguas y etiquetas claras para cuentas creadas bajo compilaciones más antiguas y potencialmente afectadas. Nada de esto es glamoroso, pero convierte el riesgo invisible en elecciones explícitas.

Riesgos y qué podría salir mal

• Oleada de phishing. Los atacantes falsificarán portales de reembolso y herramientas de reclamación para capturar frases de recuperación o firmas nuevas.
• Falsos positivos o negativos en las instantáneas. Algunas reclamaciones legítimas podrían pasarse por alto y necesitar revisión manual.
• Refirmar desde direcciones comprometidas. Los usuarios pueden intentar mover fondos y desencadenar nuevos vaciados.
• Brechas de tiempo. Dos semanas pueden alargarse si los casos límite se acumulan durante las pruebas.
• Volatilidad del mercado. Si los reembolsos son en ADA, las oscilaciones de precio pueden complicar el valor percibido de la recuperación.
• Coordinación legal. Los matices jurisdiccionales pueden ralentizar las comunicaciones o la aplicación de la ley contra los flujos conocidos.

Si quieres una cobertura constante sin ruido, el equipo de Crypto Daily ha estado siguiendo historias de seguridad de billeteras como esta en múltiples cadenas. Es una buena lectura única mientras esperas las actualizaciones oficiales.

Preguntas frecuentes

¿Importar mi frase de recuperación en una billetera de Cardano diferente soluciona el problema?

No. Bitquery y SecondFi enfatizaron que el fallo es a nivel de dirección. Si una dirección comprometida firma una transacción en cualquier lugar, la exposición puede reaparecer. Cambiar de aplicación por sí solo no lo neutraliza (Bitquery / SecondFi).

¿Cuánto ADA estaba realmente en riesgo?

Los primeros reportes referenciaban aproximadamente 16 millones de ADA vaciados de 374 direcciones (CoinDesk). La forensia posterior identificó una bóveda de segunda oleada que acumulaba 129.430.001 ADA y alrededor de 3.072 billeteras víctimas en ambas oleadas (Bitquery). Piensa en 16 millones como los vaciados confirmados inicialmente y en 129,43 millones como las tenencias consolidadas mapeadas en cadena.

¿Cuál es el cronograma de recuperación?

EMURGO/SecondFi dijeron que completaron la forensia y tomaron una instantánea final del saldo el 26 de junio de 2026, con el objetivo de comenzar las devoluciones en aproximadamente dos semanas, con una semana para construir y una semana para probar el mecanismo (The Block).

¿Debería intentar mover el ADA restante por mi cuenta?

Ten mucho cuidado. Si la dirección fue generada bajo las condiciones vulnerables, firmar podría ser el desencadenante del riesgo. Sigue las instrucciones oficiales de SecondFi y EMURGO. En caso de duda, cambia a una billetera completamente nueva con una frase de recuperación nueva y espera las instrucciones del proveedor.

¿Cómo puedo verificar si mis direcciones formaron parte de los vaciados?

Monitorea los paneles oficiales o cualquier herramienta de consulta proporcionada por los proveedores o investigadores de reputación. Evita los verificadores de reclamaciones de terceros publicados en redes sociales. Cuando existan herramientas, deben estar vinculadas por canales oficiales.

¿El uso de una billetera de hardware me protege de este tipo de error?

El hardware ayuda con el aislamiento de claves, pero si una aplicación defectuosa generó el conjunto de direcciones original, el riesgo puede persistir a nivel de dirección. Para nuevas configuraciones, generar la frase de recuperación en una billetera de hardware de confianza reduce la exposición futura.

¿Qué ocurre con los 129,43M ADA en la llamada bóveda?

Los investigadores rastrean dichas direcciones de consolidación para mapear los flujos y las posibles salidas. El rastreo no garantiza la recuperación. Sí informa el diseño de la recuperación, la coordinación con las fuerzas del orden y el monitoreo de intercambios (Bitquery).

Aviso legal: Este artículo se proporciona únicamente con fines informativos. No se ofrece ni está destinado a ser utilizado como asesoramiento legal, fiscal, de inversión, financiero o de otro tipo.