Educativo
Te vaciaron la wallet sin tocar tu seed phrase: el hack de $20 millones que rompe el mantra del cripto
Por MAD · · 6 min de lectura
374 usuarios de SecondFi perdieron 16 millones de ADA sin que nadie tocara su frase semilla. La falla estaba en el software que generó sus wallets. Esto es lo que cambia sobre la autocustodia.
Te pueden vaciar la wallet sin que toques tu seed phrase. Sin phishing, sin que firmes un contrato malicioso por error, sin instalar nada raro. Solo por haber confiado en el software que generó tu dirección. Eso es exactamente lo que les pasó a 374 usuarios de SecondFi esta semana: 16 millones de ADA, unos 2.4 millones de dólares, evaporados. Y la cuenta final podría rebasar los 20 millones. Vamos por partes.
El 24 de junio de 2026, SecondFi, una plataforma construida sobre Cardano, confirmó tres ataques que drenaron las wallets de cientos de sus usuarios. Lo perturbador no es el monto. Es el cómo. Porque rompe una de las creencias más repetidas del cripto: la idea de que mientras tú controles tu frase semilla, estás a salvo.
Qué pasó exactamente
SecondFi tiene su propio software para generar wallets. No usaba un estándar abierto y auditado por la comunidad, sino código propietario, hecho en casa. Ahí estaba la bomba.
La falla vivía en cómo ese código creaba las llaves privadas. Dicho simple: las llaves que supuestamente protegían el dinero nunca fueron verdaderamente secretas. Tenían un patrón que un atacante podía deducir. Y una vez que lo dedujo, no necesitaba tu seed phrase ni tu permiso. Tenía las llaves directamente.
Los ataques empezaron entre el 21 y 22 de junio. La falla se hizo pública el 23. Para entonces ya se habían llevado 16 millones de ADA de 374 wallets. El equipo de SecondFi alcanzó a reaccionar y movió otros 129 millones de ADA a un custodio externo antes de que los atacantes llegaran a ellos. Por eso la firma de seguridad SlowMist estima que las pérdidas totales en riesgo podrían superar los 20 millones de dólares, pendiente de una auditoría independiente.
El detalle que cambia todo: nivel de dirección
Aquí está la parte que necesitas entender, porque es lo que rompe la intuición de cualquiera que lleve tiempo en cripto.
La vulnerabilidad es a nivel de dirección. En inglés le dicen address-level. Significa que el problema no está en la red de Cardano, ni en el protocolo base, ni en cómo funciona la blockchain. Cardano como tal no fue hackeado. El defecto estaba en una capa de arriba: la aplicación que SecondFi construyó encima.
Y la consecuencia práctica es brutal. Mover tu seed phrase a otra wallet NO te protege. Porque la falla se activa cuando firmas una transacción con esa dirección comprometida. La dirección ya nació débil. No importa dónde guardes la frase semilla si la cerradura de la puerta estaba defectuosa desde que la fabricaron.
Por eso los afectados no pueden simplemente "mover sus fondos a un lugar seguro" y ya. Tienen que reclamar directamente a SecondFi, que contrató a una firma contable externa para verificar los fondos rescatados. Esa es la posición incómoda en la que quedan: depender de la misma empresa que falló para recuperar su dinero.
"Not your keys, not your coins" tiene letra chiquita
Hay una frase que se repite como mantra en cripto: no tus llaves, no tus monedas. La idea es que si dejas tu dinero en un exchange, no controlas nada, y si el exchange truena, te quedas viendo.
El caso SecondFi le pone una nota al pie que casi nadie menciona. Tener tus llaves no sirve de nada si las llaves se generaron mal. La autocustodia no es magia. Es una cadena, y la cadena tiene un eslabón que casi nadie revisa: el software que crea tu wallet.
Cuando descargas una wallet y te da tus 12 o 24 palabras, estás confiando ciegamente en que ese programa generó esas palabras de forma genuinamente aleatoria e impredecible. Si el generador tiene un patrón, tus llaves son adivinables. Y tú ni te enteras, porque todo se ve normal. La wallet funciona, recibes, envías, todo bien. Hasta el día que alguien encuentra el patrón.
La lección práctica para ti
No te voy a decir que el cripto es peligroso y mejor te salgas. Eso es lo que diría un banco. Te voy a decir cómo reducir el riesgo de verdad.
Usa wallets auditadas y de código abierto. Las que llevan años en el mercado, que cualquier desarrollador del mundo puede revisar línea por línea. Cuando miles de ojos pueden auditar el código, los patrones raros salen a la luz rápido. El software propietario y cerrado es justo lo contrario: nadie de afuera puede ver si la generación de llaves está bien hecha.
Desconfía de lo nuevo y brillante. Una plataforma que inventa su propio sistema de wallets en lugar de usar estándares probados no te está ofreciendo innovación. Te está pidiendo que confíes en código que nadie más revisó. A veces eso sale bien. A veces sale como SecondFi.
Para montos serios, hardware wallet. Un dispositivo físico dedicado, de una marca establecida, que genera y guarda las llaves fuera de internet. No es infalible, pero suma una capa que el software puro no tiene.
Divide. No tengas todo en una sola wallet ni en una sola plataforma. Si algo truena, que no se lleve todo.
El patrón que se repite
Este hack no es el primero de su tipo y no será el último. Cada cierto tiempo aparece un proyecto que reinventó algo que ya estaba resuelto, y la reinvención trae un agujero que el estándar viejo no tenía.
Pasa porque el cripto premia la velocidad y lo novedoso. Sale una plataforma con una interfaz bonita, comisiones bajas, una narrativa fresca, y la gente entra sin preguntar lo aburrido: ¿quién auditó esto? ¿el código es abierto? ¿la generación de llaves usa un estándar reconocido?
Mientras tanto, Bitcoin ronda los 61 mil dólares, un 20% abajo en 30 días, y el mercado está en Miedo Extremo. En contextos así, la gente busca rendimiento donde sea, baja la guardia y entra a plataformas que en un toro no tocaría. El miedo y la prisa son los mejores aliados de un atacante.
Cierre
El caso SecondFi no es una historia sobre Cardano. Cardano aguantó. Es una historia sobre la diferencia entre tener tus llaves y tener llaves bien hechas. Sobre cómo la frase que todos repetimos esconde una letra chiquita que casi nadie lee.
La autocustodia sigue siendo el camino. Pero autocustodia no significa solo guardar la frase semilla en un papel. Significa entender de dónde vino esa frase, qué software la creó y si ese software pasó por ojos que no fueran los de la empresa que te lo vendió.
En cripto, lo aburrido protege. Lo brillante y nuevo, a veces, te vacía la wallet sin que muevas un dedo.
Esto no constituye consejo financiero. Es contexto para entender el mercado y proteger tu dinero. DYOR siempre.
Temas: cardano, autocustodia, seguridad, hack, wallets