SecondFi (ex Yoroi): el Asset Recovery Tool ya está live

El tool se activó el 7 de octubre

SecondFi activó su Asset Recovery Tool el 7 de octubre de 2026. Lo anunció su cuenta oficial (@secondfiapp) a las 05:16 UTC —02:16 en Chile—: “The Asset Recovery Tool Is Now Live”.

Se esperaba para fines de septiembre y salió una semana después. Hay un dato para poner adelante: NIGHT, el night token, sí es recuperable, y está por escrito en los términos que hay que aceptar antes de usarla. El anuncio no lo menciona ni una vez.

Corre solo en el navegador, en secondfi.io, y no exige ticket previo. Recuperar activos no es lo mismo que migrar la billetera: ese proceso está en la guía para migrar desde Yoroi a SecondFi. Toda la interfaz está solo en inglés, una barrera real para la comunidad hispanohablante afectada.

Cómo funciona el proceso

El anuncio describe cuatro pasos:

1. Probar el control de la billetera —“Enter the recovery phrase for one affected wallet”, con 12, 15 o 24 palabras—.
2. Revisar qué activos son elegibles.
3. Indicar la dirección de destino.
4. Generar la prueba y enviar la solicitud.

La generación tarda unos 15 minutos y descarga cerca de 2 GB; la solicitud se procesa en lotes, con hasta 5 días hábiles.

Qué ves en pantalla

El escaneo no es un botón mudo: la app lo reporta con textos fijos —“We are checking your wallet keys against the list of compromised addresses”, “Checked {checked} of {total} keys”, “Scanning accounts 0 to {max}”, “Scanned {count} keys”— y, cuando hay coincidencias, “Suspected keys detected”. Puede tardar unos minutos: no está colgado.

Cuando termina, la pantalla de resultados clasifica cada dirección afectada y muestra qué puedes recuperar en cada una: en un whitehat sweep, tu ADA, tus tokens y tus NFT; en un attacker drain, solo ADA y algunos tokens populares. El monto es estimado, y los NFT no retornables suman 30 ₳ al ADA de esa dirección, no restan.

El destino queda fijado dentro de la prueba (no se cambia tras enviarla): se rechaza una dirección vinculada al incidente o un script address, se valida la red y hay aviso FATF / Travel Rule si el destino es un exchange. La app exige además una espera con cuenta atrás (“Wait {sec} seconds…”) antes de confirmar: es una medida anti-apuro, no un error.

Al generar, la pantalla encadena estas etapas:

1. Initialising proving engine…
2. Downloading constraint system…
3. Verifying eligible assets…
4. Preparing recovery request for address {current} of {total}…
5. Submitting recovery request…

Ahí se descargan los ~2 GB y se van los ~15 minutos. Cada dirección muestra además su estado: To recover · Submitted · Transferred · Nothing to recover · Check failed.

Si algo se interrumpe, y qué tener listo

Nada de esto obliga a empezar de cero: si se cae la conexión o el navegador se queda sin memoria (“Your browser ran out of memory”), la app reanuda con “Picking up where you left off”, reintenta sola y ofrece un log de diagnóstico.

Dos precauciones: la generación pide ~2 GB de RAM, así que cierra otras pestañas; y no refresques la página durante los ~15 minutos, porque la ventana se mantiene abierta a propósito.

Además de la frase, acepta un backup cifrado QR tipo chimera (CIP-0301) o la root key (xprv) importada con contraseña, ambos descifrados localmente; valida que la primera dirección derivada sea la correcta.

Requisitos: 2 GB de RAM, un procesador de no más de 5 años y al menos 50 Mbps.

Lo que el anuncio no dice

La app y sus Recovery Terms —no el anuncio— documentan tres cosas que cambian la comprensión del proceso.

NIGHT sí se recupera

La cláusula 3.1(a) lista los activos recuperables “in kind”: ADA, NIGHT, SHEN, STRIKE, iUSD, MIN, SURF, WMTX, STUFF, USDM, IAG, VIPER, INDY, BODEGA, PALM, FLDT, HOSKY, COPI, USDA y DRIP —veinte tokens—. El night token está en la lista. El reclamo que la comunidad arrastró todo septiembre queda respondido —en los términos, no en el tuit de lanzamiento—.

Dos políticas, dos tratamientos

La herramienta clasifica cada dirección afectada y lo muestra en pantalla. Los dos tratamientos principales son estos (la app registra además las categorías `friend` y `mixed`):

Política	Qué pasó	Qué se recupera
Whitehat sweep	Los fondos se barrieron para protegerlos de los atacantes	“You receive back exactly what was removed — ADA, tokens, and NFTs”
Attacker drain	Los tomó “a non-cooperating criminal”	Solo ADA y algunos tokens populares; los tokens menos comunes y los NFT no vuelven. Exige marcar “I understand some stolen assets may not be recovered”

Esto aclara una confusión frecuente: los 16,1M ADA robados en 374 wallets que reporta el comunicado oficial (drenaje de atacantes) y los ~129M ADA asegurados —los que la herramienta etiqueta como whitehat sweep— son dos pools distintos, con dos niveles de restitución. Lo asegurado está en custodia y vuelve completo; lo robado vuelve solo en ADA y tokens populares.

Se recupera por orden de llegada

Los términos fijan una norma dura (cláusula 5.6): el resultado se transfiere a la dirección “specified in the first Recovery Request that successfully completes verification and processing”. Con la 4.4 —SecondFi no debe determinar la titularidad— y el cierre de la 4.2 —una prueba verifica control, no que las credenciales no se hayan copiado—, la conclusión es clara: en una dirección cuyas credenciales quedaron expuestas, gana quien pruebe control primero.

Qué hace el diseño con tu frase semilla

Está establecido en el diseño y en los Recovery Terms, y el código que tu navegador descarga lo respalda —sin ser una garantía absoluta verificable desde fuera—. Lo leímos del bundle de producción sin introducir ninguna frase ni ejecutar el flujo: no es una auditoría de seguridad independiente ni una garantía de este sitio.

• La app escanea la frase localmente contra la lista de direcciones comprometidas.
• La proving key del circuito se descarga a tu navegador: el archivo `ownership.pk` pesa 1,07 GB, lo que explica la descarga de ~2 GB (proving key, constraint system y WASM).
• Los secretos se borran de memoria al salir de la página.
• El prover verifica la prueba localmente antes de enviarla.

La cláusula 4.5 lo precisa: SecondFi “does not require you to disclose or transmit a recovery phrase” y exige que la credencial permanezca en tu dispositivo, fuera de cualquier campo que no sea el componente local oficial. Lo comprobable es que la frase se usa y la prueba se genera en tu equipo. Lo que no se puede comprobar desde fuera es que la frase no se transmita en ninguna circunstancia: eso depende del JavaScript vigente al momento de usarlo.

Quién construyó la herramienta (una inferencia)

El repo Emurgo/proof-tool concentra 244 commits de un contribuidor (`colll78`) que declara “Anastasia Labs” como empresa, y Phil UPLC (@phil_uplc), CEO de esa empresa, celebró el lanzamiento. Los términos solo mencionan “third parties in collaboration with SecondFi” (4.2): que Anastasia Labs construyó el tool es una inferencia razonable, no un anuncio oficial.

Cómo verificar que estás en el sitio correcto

Antes de escribir la frase, dos minutos:

• Escribe el dominio a mano: `secondfi.io`. No llegues por un enlace de un mensaje, un correo o un anuncio; los dos acortadores del anuncio oficial resuelven a `https://secondfi.io/`.
• No instales ninguna extensión que diga ser necesaria para recuperar: no lo es.
• Nadie cobra por esto: SecondFi no pide pagar un fee para desbloquear la recuperación ni la frase fuera de la herramienta oficial (7.4).

Y una advertencia honesta de la propia SecondFi: algunas extensiones anti-phishing pueden mostrar una alerta o una pantalla en blanco porque la herramienta pide la frase. Eso, por sí solo, no significa que la herramienta oficial sea maliciosa.

La letra chica que deberías leer

Los Recovery Terms tienen 11 secciones y vigencia 12 de septiembre de 2026; el botón de aceptación solo se habilita al final. Cinco puntos:

• Un finiquito muy amplio. Al recibir los activos, liberas “irrevocable e incondicionalmente” a las SecondFi Parties por todo lo relacionado con el incidente, la billetera y la herramienta (6.5 y 6.6). No es absoluto: la propia 6.5 exceptúa los derechos que la ley no deja renunciar y el reclamo por lo que aceptaste y no te entregaron. La casilla obligatoria de la app es eso.
• Tope de responsabilidad: USD 10.000 (9.3) para errores en la determinación de elegibles y para cualquier otro reclamo. No aplica si aceptaste un resultado y no te lo entregaron: ahí responde por el valor de lo no entregado (9.3(a)).
• Ley y foro. Rige la ley de Singapur, con arbitraje de la ICC en Tokio en inglés y acción colectiva prohibida (11.1).
• Auditoría descontada por contrato. Existe el reporte de zkSecurity, pero la cláusula 4.3 declara que “An audit, security review… does not constitute a representation, warranty or guarantee”.
• Los fees los pagas tú. SecondFi no cobra por presentar la solicitud (7.1); red, impuestos y reportes corren por tu cuenta, a diferencia de la migración.

Quedan fuera los liquidity pools, las posiciones delegadas (cómo delegar tu stake), el staking no protegido, los derechos de gobernanza y voto, los activos recibidos tras el incidente, los impuestos y los fees (3.3); la determinación es final, con una sola revisión en los 7 días siguientes (3.4); por lo que SecondFi aporte de sus propios recursos, le cedes tus reclamos contra quien tomó los activos (5.7); al reclamar ratificas las Protective Measures (2.5); y el finiquito y la cesión sobreviven (11.3).

Lo que dice la comunidad

Tres voces de la comunidad:

• @Chuntingkw95978 (9-sep): “Solo queremos el ADA de vuelta, como prometieron.” El desfase que el anuncio no toca: la comunidad pide restitución, no herramientas.
• @Brian52343644 (14-sep): “Me alegra ver que se toman el tiempo de hacerlo bien. Yo también tenía una buena parte en NIGHT que se fue al tacho, pero la prioridad es el ADA.” Prioriza el ADA y advierte que los estafadores siguen aprovechando la confusión.
• @YUBYEONGCHAN (14-sep): “El 3.º unfreezing ya terminó, pero no veo el airdrop.” Un dato concreto: una liberación que ya ocurrió y no llegó.

Preguntas frecuentes

Qué sigue sin respuesta

• Los thaws 3 y 4 del night token que lleguen a una billetera comprometida: los términos excluyen los activos “received after the Incident” (3.3), y el reclamo de varios usuarios sigue abierto.
• Si un atacante presenta la solicitud primero: las cláusulas 5.6 y 4.4 dejan ese escenario sin un mecanismo claro de titularidad.
• Quién paga el fee de redención de NIGHT desde una billetera comprometida: el calendario de liberación está publicado, ese punto no.
• El rol de Intersect en la custodia de los activos asegurados, y si la Final Recovery Offer es obligatoria o solo aparece ante discrepancias.

El calendario de NIGHT, con fechas

Los tokens no están perdidos: se liberan por calendario. La distribución va en cuatro cuotas iguales del 25%, y el primer desbloqueo de cada dirección cae en una fecha aleatoria entre el día 1 y el día 90. Desde ahí, cada dirección tarda entre 270 y 360 días en liberarse del todo. El portal está abierto 450 días —360 de thawing más 90 de gracia—: el thawing termina el 4 de diciembre de 2026 y quedan 90 días de gracia antes del cierre.

Con esas fechas, la ansiedad se vuelve un plan. Lo que sigue sin respuesta no es el calendario, sino quién paga el fee de redención desde una billetera comprometida.

La línea de tiempo completa está en qué pasó en el exploit de SecondFi y Yoroi y en cuándo iba a salir el tool ZK. Si eliges con qué continuar, mira las billeteras Cardano comparadas.

Este artículo es informativo: no es asesoría legal, financiera ni de seguridad. Antes de introducir tu frase semilla, confirma el dominio oficial y lee los Recovery Terms.

Fuentes

• @secondfiapp — “The Asset Recovery Tool Is Now Live”
• secondfi.io · support.secondfi.io · kb.secondfi.io
• Reporte de auditoría zkSecurity · Emurgo/proof-tool

Hechos y plazos: comunicado oficial de @secondfiapp y los Recovery Terms. Detalles técnicos: el repositorio y el bundle público de la aplicación.