独立調査で秘密鍵流出の原因判明
セルフカストディ型金融プラットフォーム「セカンドファイ（SecondFi）」を開発するエマーゴ（EMURGO）が、6月21日から23日にかけて同プラットフォームで発生したセキュリティインシデントに関する独立調査で現時点までに判明した内容を7月22日に公表した。
調査では、ウォレットソフトウェアの暗号処理に存在した欠陥により、本来は利用者だけが管理すべき秘密鍵に関する情報が危険にさらされたことが、資産流出の根本原因だったと判明した。なお、同インシデントでは374のウォレットから約1,610万ADA（約260万ドル）が流出した。
インシデント発生直後の発表では、問題がカルダノ向けのネイティブWebウォレット生成ソフトウェアに限定されていることや、影響を受けていないウォレット向けのパッチを展開したことまでが説明されていた。一方、具体的な流出原因や攻撃主体については調査中だった。
今回の調査では、公開されている取引情報から、影響を受けた秘密鍵に関する情報を導出できる可能性のある欠陥だったことが明らかになった。具体的には、ウォレットソフトウェアが取引ごとの署名を生成する処理に、暗号技術上の極めて把握しにくい欠陥が存在していた。
本来は秘密鍵を基に生成される署名用の値が、特定の条件下では公開されている取引データから計算可能となっていた。その結果、ブロックチェーン上で公開されている情報から、影響を受けた秘密鍵に関する情報を導出できる可能性があったとのことだ。
これらの分析は、エマーゴが依頼した独立系のフォレンジック調査・ブロックチェーン分析企業グルームレイク（Groom Lake）が実施した。同社は、プログラムのコードや変更履歴、公開ブロックチェーンデータなどの技術的証拠を基に調査したとのことだ。
グルームレイクは、主たる不正送金を実行した主体について、高度な手法を用いる外部の資金力ある主体だった可能性を示した。また、国家と連携した脅威主体による活動と一致する特徴も確認されたと分析している。
一部の指標については、北朝鮮に関連するとされるラザルス・グループ（Lazarus Group）の既知の活動との重複可能性を評価しているとのことだ。ただし、現時点で攻撃主体としてラザルス・グループが特定されたわけではない。
さらにグルームレイクは、主要な攻撃とは別の主体による活動も確認した。別の主体は同じ期間中に異なるウォレット群へ影響を与えたとみられており、これまでのところ、両者が被害を与えたウォレットに重複は確認されていないとのことだ。
また調査では、ウォレット生成ソフトウェアの関連コードの管理状況についても新たな事実が明らかになった。同じ欠陥は、許可なく公開されたGitHubリポジトリ上の関連コードのコピーでも確認された。
セカンドファイは、コードの公開と攻撃との具体的な関係は明らかになっていないとしつつ、公開の経緯を調査するとともに、関係当局へ協力しているとのことだ。
セカンドファイとヨロイを段階的に終了へ
今回確認された欠陥はすでに修正されている。修正版ソフトウェアを使って新たに作成されたウォレットについては、現時点で同じ問題の影響は確認されていない。
ただし、エマーゴは欠陥を修正して通常運営を再開するのではなく、今回の事態の重大性を踏まえて、セカンドファイとヨロイウォレット（Yoroi Wallet）の提供を段階的に終了する。終了時期などの詳細は、今回の発表では明らかにされていない。
セカンドファイは、影響を受けた利用者の資産回収を支援するとともに、利用者が別のウォレットへ安全に移行できる環境を整備する。
資産回収の支援に向けては、ゼロ知識証明（ZK Proof）を利用したツールを開発している。同ツールは、利用者が手続きに必要な情報の提供を抑えながら、資産回収の手続きを開始できるよう設計されているとのことだ。
同ツールは現在テスト段階にあり、公開前に第三者監査を受ける。提供開始は2026年8月を見込んでいるとのことだ。
また、利用者が自身で選んだ別のウォレットへ資産を移行するためのウォレットエクスポート機能も、2026年8月上旬までの提供を見込んでいるとのことだ。
An update regarding the recent security incident involving SecondFi
— SecondFi (@secondfiapp) July 22, 2026
What happened to SecondFi
Between June 21st and 23rd, SecondFi experienced a security incident that resulted in approximately 16.1 million ADA (~$2.6 million) being stolen from 374 wallets. We want to provide…
— EMURGO (@emurgo_io) July 6, 2026
画像：PIXTA