¿Qué es SecondFi y por qué lo llaman también Yoroi?

SecondFi es la nueva marca de Yoroi, la wallet de Cardano creada por EMURGO. El rebrand se completó en abril de 2026.

Yoroi fue durante años la wallet de referencia para muchos usuarios de Cardano en habla hispana. La desarrolló EMURGO, una de las tres entidades fundadoras de Cardano, lo que le daba una reputación de proyecto oficial dentro del ecosistema.

En abril de 2026, EMURGO anunció que Yoroi pasaba a llamarse SecondFi y ampliaba su propósito: la visión era convertirse en una plataforma financiera descentralizada para Cardano. El producto era el mismo, con la misma base de usuarios y las mismas claves privadas, pero con nueva marca y nuevas funcionalidades en desarrollo.

Dos meses después del rebrand, llegó el incidente que cubre este artículo.

¿Qué pasó exactamente en el hackeo de SecondFi?

En junio de 2026 un exploit drenó 16 millones de ADA de unas 178 wallets. SecondFi entró en modo mantenimiento esa misma noche y tomó un snapshot de saldos.

El equipo de SecondFi detectó la intrusión y la confirmó en un comunicado oficial en su cuenta de X (@secondfiapp). Los fondos drenados sumaron unos 16 millones de ADA, equivalentes a aproximadamente 2,4 millones de dólares al cambio del momento. El análisis en cadena identificó unas 178 wallets afectadas, aunque también se perdieron tokens y NFTs cuyo valor exacto no ha sido confirmado.

La respuesta inmediata fue pausar todas las interacciones del frontend y llevar la plataforma a modo mantenimiento. SecondFi tomó un snapshot de los saldos como paso previo a cualquier plan de compensación y anunció que estaba contratando una auditoría de seguridad independiente con una empresa especializada en blockchain.

El equipo de Intersect (antes IOHK), la Fundación Cardano y otros actores del ecosistema fueron informados del incidente.

¿A qué wallets afecta el exploit de SecondFi?

Solo afecta a wallets creadas en la web de SecondFi o Yoroi. Eternl, Lace, Daedalus y hardware wallets no están afectadas.

Según el comunicado de SecondFi, la vulnerabilidad estaba en el software de generación de wallets web nativo de su plataforma. El problema está en el proceso por el que la web de SecondFi o Yoroi creaba las claves privadas cuando un usuario registraba una nueva wallet desde el navegador.

Lo que no está afectado:

• Wallets creadas en Eternl, Lace, Daedalus o cualquier otro cliente de Cardano
• Hardware wallets (Ledger, Trezor) conectadas a SecondFi solo para firmar transacciones
• Wallets de Yoroi o SecondFi cuya seed phrase fue generada originalmente en otra plataforma e importada después

Si tu wallet la creaste en otro sitio y luego la añadiste a SecondFi, las claves no pasaron por el software vulnerable. Si la creaste directamente desde la interfaz web de SecondFi o Yoroi, hay riesgo real.

¿Mi seed phrase está comprometida si usé Yoroi o SecondFi?

Depende de cómo creaste tu wallet. Si la generaste desde la web de SecondFi o Yoroi, trátala como comprometida y mueve los fondos ya.

Hay tres casos distintos:

Caso A: wallet creada desde la web de SecondFi o Yoroi. La seed phrase se generó usando el software vulnerable. Debes asumir que está comprometida y actuar con urgencia: mueve todos tus fondos a una wallet nueva antes de que alguien lo haga por ti.

Caso B: seed phrase generada en otra wallet e importada en SecondFi. Si introdujiste tu seed phrase en la interfaz de SecondFi o Yoroi, aunque la hayas generado en otra parte, existe riesgo de que haya quedado expuesta. Lo más prudente es actuar igual que en el caso A.

Caso C: hardware wallet (Ledger o Trezor) conectada a SecondFi. Las claves privadas nunca salieron del dispositivo hardware. SecondFi solo actuaba como interfaz para firmar, y las firmas se realizaban en el chip del hardware wallet. No hay riesgo.

Si tienes dudas sobre en qué caso estás, mueve los fondos de todas formas. El coste de una transacción es mínimo comparado con perder el saldo de la wallet.

¿Cómo migrar mis fondos a otra wallet de Cardano?

Crea una wallet nueva en Eternl con una seed phrase completamente nueva, transfiere todos tus activos y no reutilices la seed comprometida.

Paso 1: crear una wallet nueva. Descarga Eternl (extensión de navegador en Chrome o Firefox) o Lace (extensión o web). Crea una wallet nueva desde cero, sin importar ninguna seed existente. El software generará una seed phrase nueva, completamente independiente de SecondFi.

Paso 2: guardar la seed phrase nueva offline. Escíbela en papel, en el orden exacto que muestra la wallet. No hagas foto ni la guardes en el móvil. Guarda el papel en un lugar seguro.

Paso 3: transferir los fondos. Desde la wallet afectada, envía todo el ADA y todos los tokens a la dirección de tu wallet nueva. Si la wallet afectada ya no carga porque SecondFi está en mantenimiento, importa tu seed antigua en Eternl o Lace, mueve los fondos y cierra esa importación.

Paso 4: no volver a usar la seed comprometida. Una vez que hayas movido todo, no importes esa seed en ninguna wallet. Consíderala inutilizable.

¿Qué alternativas a SecondFi existen para Cardano?

Eternl es la más completa, Lace la más sencilla y Vespr cubre el móvil. Para fondos importantes, un hardware wallet Ledger es insustituible.

Eternl (antes CCVault): disponible como extensión de Chrome y Firefox y como web app. Es la wallet más completa del ecosistema: multifirma, DApp connector, gestión avanzada de staking y soporte de NFTs. Ideal para usuarios que ya conocen Cardano y quieren control total.

Lace: desarrollada por Intersect (antes IOHK), la entidad técnica fundadora de Cardano. Interfaz limpia, instalación en minutos, pensada para quien empieza o quiere algo sin complicaciones. Cubre lo esencial: enviar, recibir y hacer staking.

Vespr: wallet mobile-first, disponible para iOS y Android. Buena opción si gestionas tu ADA principalmente desde el teléfono.

Ledger o Trezor (hardware wallets): si tienes una cantidad significativa de ADA, esta es la opción que debes considerar. Las claves privadas se generan y almacenan en un chip físico que nunca está conectado a internet. Puedes conectar el Ledger a Eternl o Lace para la mejor experiencia combinada.

¿Habrá compensación para los afectados por el hackeo de SecondFi?

SecondFi tomó un snapshot de saldos tras el ataque y prometió un plan de compensación. A junio de 2026 no hay importe ni plazo confirmados.

El comunicado oficial de SecondFi confirma que el equipo tomó un snapshot de los saldos en el momento del ataque. Ese snapshot es la base de cualquier proceso de reclamación o indemnización que se establezca.

Lo que aún no está definido: el mecanismo concreto de compensación, los importes, los plazos y si cubrirá también los tokens y NFTs perdidos además del ADA.

Recomendación mientras tanto: sigue los canales oficiales de SecondFi en X (@secondfiapp). No respondas a mensajes privados que prometan recuperar tus fondos: ese tipo de estafas proliferan tras incidentes como este.

Si eras uno de los afectados directos con fondos drenados, conserva pruebas de tu saldo anterior: capturas de la wallet e historial de transacciones en Cardanoscan o pool.pm con tu dirección pública.

¿Por qué una wallet web es más vulnerable que una hardware?

Una hardware wallet genera las claves privadas en un chip offline y nunca las expone. Una wallet web depende de software accesible desde el exterior.

Cuando creas una wallet en un navegador, el software que genera tu seed phrase corre en tu equipo, pero depende de código que viene de los servidores de la empresa. Si ese código tiene una vulnerabilidad, si hay un problema en el servidor que lo entrega o si alguien intercepta la comunicación, las claves pueden quedar expuestas antes de que las hayas anotado.

Una hardware wallet funciona de otra manera. El chip genera las claves privadas internamente, sin conexión a internet, y las guarda en el propio dispositivo. Cuando firmas una transacción, la firma ocurre dentro del chip: la clave nunca sale del hardware. Lo que sale es solo la firma resultante, que es inútil sin la clave.

Esto no significa que las hardware wallets sean perfectas. Para atacar una clave almacenada en un hardware wallet, el atacante necesita acceso físico al dispositivo o manipular el proceso de configuración. Para atacar una wallet web, basta con encontrar una vulnerabilidad en el software remoto.

¿Qué lección de autocustodia deja el hackeo de SecondFi?

Si no controlas tus claves privadas, no controlas tu cripto. El hackeo de SecondFi demuestra que ninguna plataforma es inmune, por conocida que sea.

EMURGO es una de las entidades fundadoras de Cardano. Yoroi fue la wallet oficial durante años. Que el problema haya ocurrido ahí, y no en un proyecto anónimo de dudosa procedencia, es el dato que importa: la reputación de una plataforma no garantiza seguridad técnica.

El principio de autocustodia que la comunidad cripto repite desde sus inicios, "not your keys, not your coins", se aplica igual cuando la plataforma es conocida que cuando es desconocida. La diferencia entre tener fondos en un exchange centralizado y tenerlos en una wallet web de un proyecto reputado es menor de lo que mucha gente cree.

La lección práctica en tres puntos:

• Para fondos que no necesitas mover a diario: hardware wallet.
• Para fondos operativos: usa wallets con buena reputación técnica (Eternl, Lace) y guarda la seed phrase offline, en papel.
• Ninguna plataforma, por seria que sea, merece toda tu confianza si no controlas tus claves.

La autocustodia no es para usuarios avanzados. Es para cualquiera que tenga algo que perder.