SecondFiがウォレットの欠陥による流出を受けサービス停止・事業縮小へ
暗号資産カルダノ（Cardano/ADA）基盤のウォレットを展開するSecondFiは、ソフトウェアの深刻なセキュリティ欠陥に起因する大規模な資金流出被害を受け、通常サービスの再開を断念し事業縮小に向けた準備を進めていることを明らかにした。
An update regarding the recent security incident involving SecondFi
What happened to SecondFi
Between June 21st and 23rd, SecondFi experienced a security incident that resulted in approximately 16.1 million ADA (~$2.6 million) being stolen from 374 wallets. We want to provide…— SecondFi (@secondfiapp) July 22, 2026
SecondFiに関する最近のセキュリティインシデントに関する最新情報 SecondFiに何が起こったのか 6月21日から23日の間に、SecondFiはセキュリティインシデントに見舞われ…
今回の事態により、サービス連携を行っていたYoroiウォレットを含め、影響を受けたユーザーへの対応や今後の移行手段に注目が集まっている。発端は、署名機能におけるナンス（一時的データ）生成の不備だ。バージョン10.0.3から10.0.6にかけて導入されていたプログラムにおいて、公開トランザクション情報のみを用いて署名を行っていたため、外部の攻撃者にナンスを逆算される脆弱性が生じていた。
その結果、公開されているブロックチェーン上のデータからアドレス単位の秘密鍵が解析可能となり、2026年6月21日から23日にかけて計374件のウォレットから約1,610万ADA（当時相当額で約4.2億円）が不正に引き出された。
なお、今回の問題はSecondFi側のソフトウェア処理に限定されたものであり、カルダノブロックチェーン本体のセキュリティ自体には問題がないことが確認されている。
調査難航と独立した複数の攻撃者
調査機関Groom Lake（グルーム・レイク）による分析では、高度な手法を用いる単一の高度攻撃者に加え、別のウォレット群を狙った独立した攻撃者の存在が検出された。
両者の標的となったアドレス群に重複がないことから、別々の攻撃者が同じ脆弱性を独自に悪用したと見られている。攻撃の痕跡には、北朝鮮のハッキング集団ラザルス（Lazarus Group）の手口と類似する特徴が報告されているが、現時点で犯人の特定には至っていない。また、脆弱性を含んだコードが不適切な形で外部の公開リポジトリへ流出していたことも判明している。
遅延する復旧手段と募るユーザーの不満
SecondFi側は初期対応として約1億2,900万ADAを安全な外部機関へ避難させたものの、被害を受けたユーザーへの直接的な補償策や返金スケジュールは示されていない。
当初、セキュリティ検証後に2週間程度で復旧手続きを開始できるとのアナウンスがなされていたため、1カ月が経過しても具体的な対応ツールが提供されていない状況に対し、コミュニティからは強い批判の声が上がっている。
現在、同社はゼロ知識証明（ZKP）を活用した身元特定を最小限に抑える復旧ツールの開発を進めているものの、第三者機関による監査を経て導入されるのは2026年8月以降になる見通しだ。あわせて同月には、他社ウォレットへ資産を移行するためのエクスポート機能の提供も予定されている。
シードフレーズをそのまま他サービスへ流用するだけでは過去に漏えいしたアドレスのリスクを排除できないため、利用者は提供予定のツールや新たな鍵への安全な資産移動手順の案内を待たざるを得ない状況が続いている。
