SecondFi 자산 회수 도구 공식 출시

[JaniceyamGu]

최근 커뮤니티 내에서 SecondFi 사건의 진행 상황에 대한 문의가 이어지고 있습니다. 6월 하순 취약점이 노출된 이후 지금까지 긴급 자산 차단, 암호학적 역공학 포렌식, 다자간 보안 감사, 그리고 사후 보상 단계에 이르기까지 일련의 대응이 진행되었습니다. 현재의 수습 상황을 명확히 전달해 드리고자 전체 사건의 핵심 맥락과 타임라인을 먼저 정리한 뒤, 공식 출시된 자산 회수 도구 및 피해 사용자의 구체적인 행동 요령을 상세히 안내해 드립니다.

사건 전말 및 핵심 타임라인 정리

• 취약점 노출 및 해커의 온체인 탈취: SecondFi 지갑(초기 Yoroi 클라이언트 계보에서 분기되어 발전한 형태)에서 비정상적인 자산 유출이 감지되었습니다. 해커는 소프트웨어의 디지털 서명 생성 과정에서 발생한 난수 파생 결함을 이용해 피해 지갑의 개인키를 역공학으로 해독했습니다. 온체인 포렌식 결과 서로 소속이 다른 두 독립 해커 세력이 동시에 공격을 감행한 것으로 드러났으며, 주 공격자의 수법은 Lazarus 조직을 가리키고 있습니다. 총 374개에 달하는 순수 소프트웨어 지갑이 직접 탈취당했으며, 피해 규모는 수천만 ADA 및 다수의 네이티브 토큰에 달했습니다.

• 공식 긴급 개입 및 1억 2,900만 ADA 보호 이체: 보안 전문기관과 커뮤니티 핵심 개발진의 협력 아래, 재단 및 플랫폼 측은 개인키 노출 위험에 직면한 잠재 주소 범위를 신속히 파악했습니다. 이후 화이트햇 스크립트를 통해 탈취 직전 상태에 놓여 있던 약 1억 2,900만 개의 위험 자산을 안전하게 선제 이체하여 보호 풀에 잠금 처리함으로써 대규모 연쇄 붕괴를 차단했습니다.

• 데이터 동결: 6월 26일 온체인 최종 스냅샷 확정: 공식 측은 6월 26일 자 온체인 잔액 스냅샷을 공식 캡처하여 고정했습니다. 이는 피해 사용자의 순손실을 규명하고 회수 가능 한도를 산출하며 사후 대사 감사를 진행하기 위한 위변조 불가능한 기준선으로 활용됩니다. 이와 동시에 팀은 SecondFi 지갑의 기반 코드를 영구 폐기하고 제품 운영을 완전히 종료한다고 공식 확인했습니다.

• Bitdefender 감사 및 마이그레이션 도구 배포: 글로벌 사이버 보안 전문 기업인 Bitdefender가 피해 지갑의 마이그레이션 로직에 대한 코드 전수 감사를 완료했습니다. 아직 도난당하지 않았으나 잠재적 위험에 노출된 잔여 자산을 위해 격리형 안전 마이그레이션 도구를 배포함으로써 사용자가 수동으로 니모닉을 내보내다 발생할 수 있는 2차 유출을 방지했습니다.

• 회수 및 보상 체계 구축 완료: 영지식 증명 메커니즘 도입: '개인키가 이미 유출된 상태에서 사용자의 정당한 권리를 어떻게 안전하게 입증할 것인가’라는 암호학적 난제를 풀기 위해, 기술팀은 영지식 증명 기반의 보상 청구 프로토콜을 개발하고 비공개 테스트를 완료했습니다. 이를 통해 피해 사용자가 개인키를 외부에 노출하지 않고도 신원과 소유권을 확정할 수 있는 통로를 구축했습니다.

공식 회수 도구 서비스 개시

수개월간의 기술 검증과 다자간 장부 대사를 거쳐, 피해 자산 회수를 위한 가장 결정적인 단계인 공식 자산 회수 도구가 마침내 전면 개방되었습니다.

현재 공식적으로 승인된 유일한 자산 회수, 검증 및 보상 청구 창구는 다음과 같습니다:

공식 단독 웹사이트: https://secondfi.io/

보안 확인 안내: 접속 전 브라우저 주소창의 철자(secondfi.io)를 반드시 세밀하게 확인하시기 바랍니다. 검색 엔진 상단 광고나 사칭 소셜 미디어 계정이 유포하는 피싱 도메인에 각별히 유의해야 합니다.

해당 도구는 6월 26일 확정된 온체인 스냅샷과 영지식 증명 검증 메커니즘을 긴밀히 통합하여, 개인키가 오염되었을 가능성이 있는 환경에서도 피해 사용자가 안전하게 등록을 마치고 보호 풀에 잠금 처리된 자산을 회수할 수 있도록 지원합니다.

피해자 실전 가이드: 회수 도구 이용 방법

https://secondfi.io/ 에 접속하기 전, 아래 절차를 차례대로 준비하고 진행하시기 바랍니다:

1단계: 완전히 새로운 수신 주소 준비

악성코드나 트로이목마가 없는 깨끗한 기기에서 신뢰할 수 있는 공식 주도 지갑인 Lace나 성숙한 오픈소스 지갑인 Eternl을 설치합니다.

• 완전히 새로운 니모닉을 생성하고 이를 오프라인 물리 매체에 안전하게 백업합니다.

• 신규 지갑의 ADA 수신 주소를 복사합니다.

• 거래소 입금 주소 사용 절대 금지: 본인이 직접 개인키를 관리하는 탈중앙화 자체 수탁 지갑 주소만 사용해야 합니다. 중앙화 거래소의 입금 주소를 입력할 경우 스마트 컨트랙트 환불 처리나 멀티에셋 입금 제한 정책으로 인해 보상 자산이 유실될 수 있습니다.

2단계: 공식 웹사이트 접속 및 회수 모듈 진입

1. https://secondfi.io/ 에 접속하여 Asset Recovery 전용 섹션으로 이동합니다.

2. 화면 안내에 따라 피해를 입은 기존 SecondFi 지갑 주소를 입력하거나 연결합니다.

3. 시스템이 6월 26일 온체인 스냅샷을 자동으로 조회하여 해당 주소의 피해 시점 순자산 가치, 보호 이체 지분, 회수 가능 한도를 산출합니다.

3단계: 영지식 증명 검증 완료 및 신규 주소 바인딩

• 회수 도구는 영지식 증명 방식을 적용하여 로컬 환경에서 단 한 번의 통제된 서명 검증만 거치면 기존 피해 주소에 대한 정당한 소유권을 수학적으로 증명할 수 있습니다.

• 전체 과정에서 일반 텍스트 형태의 니모닉을 업로드하거나 개인키를 추출할 필요가 없으므로 해커의 탈취 및 네트워크 패킷 감청 위험을 차단합니다.

• 수령 주소 란에 1단계에서 생성한 안전한 신규 수신 주소를 입력하고 확인 후 바인딩을 완료합니다.

4단계: 보상 신청 접수 확인 및 온체인 전송 대기

• 제출이 정상 완료되면 시스템에서 고유한 Recovery 신청 접수 번호와 배치 트랜잭션 해시를 발행합니다.

• 회수 자산 풀은 공지된 심사 회차 일정에 따라 신규 주소로 자산을 일괄 분배 및 전송하며, 사용자는 Cardano 온체인 익스플로러를 통해 수령 내역을 실시간으로 확인할 수 있습니다.

피해 사용자 필수 보안 수칙

자산 회수 도구가 배포된 시점은 피싱 링크 유포와 가짜 고객센터 사칭이 급증하는 시기입니다. 다음 세 가지 원칙을 반드시 지키시기 바랍니다:

1. 단독 공식 채널 확인: 모든 회수 및 보상 절차는 오직 https://secondfi.io/ 에서만 진행되며, 별도의 '수기 등록 양식’이나 '신속 처리 창구’는 존재하지 않습니다.

2. 사전 비용 요구 전무: 자산 회수 과정에서 ‘가스비’, ‘동결 해제 비용’, ‘활성화 보증금’ 등의 명목으로 특정 주소에 ADA 입금을 요구하는 경우는 절대 없습니다.

3. 개인 메시지 접촉은 100% 사기: 공식 지원 인력은 X(트위터), 디스코드, 텔레그램 등의 채널에서 사용자에게 먼저 개인 메시지를 보내 니모닉을 요구하거나 지원을 제안하지 않습니다.

피해를 입은 사용자분들은 조속히 https://secondfi.io/ 에 접속하여 검증 및 등록 절차를 완료하고 1차 자산 분배 대상에 포함되시기를 권장합니다.