SecondFi maps recovery path after $2.4 million Cardano wallet exploit, aims to return funds within two weeks

ポイント

Cardanoベースの金融サービス「SecondFi」のウォレット生成ソフトに脆弱性が発見され、約240万ドル相当のADAが流出
被害は3日間にわたり進行し、374のアドレスが標的に
SecondFiは2週間以内に被害者への返金を完了させる目標を掲げ、復旧ロードマップを公表
Cardano（ADA）エコシステムにおける大型エクスプロイト（脆弱性攻撃）として、DeFi（分散型金融）セキュリティへの懸念が再燃

SecondFiのウォレット生成ソフトウェアに仕込まれた脆弱性が悪用され、3日間で374アドレスから約240万ドル分のADAが抜き取られた。同社は被害の全容を認め、2週間以内の資金返還を目指すと発表した。

何が起きたのか——脆弱性の構造

問題の震源はウォレットの「生成プロセス」にある。通常、ウォレットの秘密鍵は完全なランダム性をもって生成される必要があるが、SecondFiのソフトウェアにはその生成ロジックに欠陥があった。攻撃者はこの欠陥を突き、対象となるアドレスの秘密鍵を推測または再現し、資産を根こそぎ引き出した。

3日間で374アドレスという被害範囲の広さが、この脆弱性がいかにシステム的なものだったかを物語る。単発のフィッシング詐欺やソーシャルエンジニアリングではなく、プロトコル層の欠陥を突いた組織的な攻撃だ。

筆者がこの件で特に気になるのは、「なぜ3日間にわたって検知が遅れたか」という点だ。継続的な異常検知の仕組みが機能していれば、初日の段階で対処できた可能性がある。

背景・なぜ重要なのか

CardanoはEthereum（イーサリアム）と並ぶプルーフ・オブ・ステーク型のレイヤー1ブロックチェーンで、学術的な設計思想と形式検証を売りにしてきた。そのエコシステムで起きた今回の事件は、「Cardanoは安全」という市場認識に直接ダメージを与える。

DeFiセクター全体でみれば、ウォレット生成の脆弱性を突いた攻撃は以前から繰り返されてきた。2023年にはSolanaのウォレットライブラリ「Slope」に同様の脆弱性が見つかり、数億円規模の被害が出た事例が記憶に新しい。今回はCardanoで類似のパターンが再現した形だ。

特定のソフトウェアを使ってウォレットを生成したユーザーだけが被害を受けるという構造上、「SecondFiのサービスを利用していなければ安全」ではあるが、エコシステム全体への信頼感は揺らぐ。Cardano上のDeFiプロジェクトへの新規資金流入が一時的に鈍化するシナリオは十分考えられる。

市場への含意

ADA価格への直接影響は限定的とみている。240万ドルという規模はDeFi被害としては中規模で、流動性の高いADA市場を動かすには小さい。ただし、ニュースが拡散するタイミングで短期的な売り圧力がかかる可能性はある。板が薄い時間帯には注意が必要だ。

SecondFiのプロジェクト自体は今後の対応次第で評価が大きく分かれる。2週間以内の全額返済を本当に達成できれば、信頼回復の余地は残る。過去のDeFiハック事例でも、迅速な補償を実施したプロジェクトは中長期的にコミュニティからの支持を維持したケースがある。

一方、期限内に返済が完了しなかった場合のダメージは深刻だ。SecondFiを利用しているユーザーは、現時点で自身のアドレスが374件の被害リストに含まれているか確認し、必要であれば資産を別のウォレットへ移動させておくべきだろう。

Cardanoエコシステム全体としては、今回の件がサードパーティのウォレットツールに対するデューデリジェンス（精査）強化のきっかけになるかもしれない。公式に監査されていないウォレット生成ツールの使用リスクが改めて浮き彫りになった。

まとめ

SecondFiのウォレット生成ソフトの脆弱性を突いた攻撃で、ADA約240万ドルが流出した。被害は3日間・374アドレスに及び、同社は2週間以内の返金完了を目指すと表明している。Cardanoエコシステムへの信頼影響は軽微にとどまる可能性があるものの、DeFiにおけるウォレットセキュリティの重要性を改めて突きつけた事件だ。復旧対応の実行力が、SecondFiの今後を左右する。

よくある質問

Q1. ウォレット生成の脆弱性とは何か？

ブロックチェーンのウォレットは、秘密鍵と呼ばれる固有の暗号データによって管理される。この秘密鍵が予測不可能な乱数で生成されていれば安全だが、生成ロジックに欠陥があると第三者が同じ秘密鍵を再現・推測できてしまう。今回のSecondFiのケースはまさにこれで、攻撃者がソフトウェアの欠陥を逆手に取り、対象ウォレットの鍵を再現して資産を引き出した。

Q2. SecondFiの被害を受けたか確認する方法はあるか？

SecondFiが公表している被害アドレスリストと自身のウォレットアドレスを照合するのが最初のステップだ。同社の公式チャンネル（Discord・公式サイト等）で告知されている確認手順に従うことを推奨する。被害対象のアドレスを使用している場合は、速やかに資産を別の安全なウォレットへ移動させ、SecondFiのサポートに連絡を取ることが先決になる。

出典: The Block（2026年6月27日）