カルダノウォレット「SecondFi」が永久停止 署名欠陥で公開チェーンから秘密鍵を復元可能に
2026年7月24日 14:54
カルダノ（Cardano）のウォレット「SecondFi」が、署名生成時の重大な欠陥を受け、サービスの永久停止を発表した。2026年6月に配信されたAndroidアプリの更新版では、公開されているブロックチェーン上の取引データから秘密鍵を復元できる状態になっており、374のユーザーウォレットから1,610万ADAが流出した。開発元のEMURGOは通常運営を再開せず、今後は影響を受けたユーザーへの資産返還に専念するとしているが、返還時期は発表していない。
■公開取引データから秘密鍵が計算可能に
攻撃者はカルダノの暗号技術を破る必要も、ユーザーのデバイスにマルウェアを仕込む必要もなかった。サーバーへの侵入、パスワードの推測、通信の傍受も不要で、ブロックチェーンを読み取るだけでよかった。
EMURGOが長年運営してきた「Yoroi」の後継として2026年4月に提供を開始したカルダノウォレット「SecondFi」は、7月22日、永久停止を発表した。6月の署名生成の欠陥により、374のユーザーウォレットから1,610万ADAが流出した。被害額は事件当時で約240万ドル（1ドル＝164円換算で約3億9,360万円）、2026年7月22日時点の1ADA＝0.1738ドルで計算すると約280万ドル（約4億5,920万円）に相当する。換算額はいずれも概算である。
欠陥は、6月8日に公開されたAndroidアプリのバージョン10.0.3に含まれていた。SecondFiのユーザーがこのバージョンで署名した取引は、公開台帳を監視する第三者に秘密鍵を事実上さらすものとなっていた。このため、アプリが修正され、サービスが停止した後も、侵害された秘密鍵は公開データから恒久的に復元できる。
EMURGOのPhillip Pon CEOは7月6日の声明で、「監査が完了した後も、SecondFiが通常運営を再開することはない」と述べた。同社によると、今後の役割は「影響を受けたユーザーへの資産返還だけを任務とする専任の資産回収チーム」に限定される。返還時期は発表されていない。
今回の停止は、カルダノの歴史上、アプリケーション層で発生したウォレット障害として最も重大なものだ。同じ日には、ZilliqaのLedgerハードウェアウォレット用アプリでも、構造的に同種のノンス脆弱性が独立して公表された。Zilliqaの欠陥は2019年から存在していたとされ、この種の暗号実装上の誤りがブロックチェーン業界でどの程度見過ごされてきたのか、早急な検証が必要になっている。
SecondFiのAndroidアプリには、カルダノのExtended Ed25519署名方式で使用するノンスの生成方法に重大な欠陥があった。ノンスとは署名ごとに使用する秘密の一時値であり、各署名を一意にするとともに、秘密鍵との数学的な関連を外部から読み取れないようにする役割を持つ。
Ed25519が正しく実装されている場合、署名ごとのノンスは、取引データとデバイス内に保持された秘密鍵の情報という2つの入力から導出される。この「決定論的だが秘密である」という仕組みは、外部の乱数生成器を必要としたECDSAなどの旧来方式との重要な違いである。外部の乱数生成器は実際の運用で深刻な障害を起こしており、2010年のSony PlayStation 3のマスターキー流出や、2013年のAndroid版Bitcoinウォレットからの資産流出も、同じ種類の問題によって引き起こされた。
しかし、SecondFiのアプリは秘密鍵の要素を含めず、公開情報である取引ハッシュだけを使ってノンスを計算していた。その結果、秘密鍵を保護するはずのノンスが、公開されているブロックチェーンデータから外部の観察者でも容易に計算できる状態となり、Ed25519の中核的な安全性が逆転していた。
サイバーセキュリティ研究者のYua Mikanana氏による独立したEd25519ノンス分析でも、秘密鍵要素であるkRが、意味を持つ段階より後になるまでノンス導出から欠落していたことが確認されている。セキュリティ研究者のCharles Guillemet氏は、カルダノのメインネットから署名を取得し、オンチェーンの取引記録だけを使って秘密鍵を再構築できることを公開実証した。同じ独立技術分析によると、MyCrypto創業者のTaylor Monahan氏は、この実装を2011年の初期Bitcoinウォレットの脆弱性よりもひどいものだと評している。
データベース侵害や暗号資産取引所への攻撃であれば、盗まれた認証情報を後から変更できる場合がある。しかし、秘密鍵を露出させた署名はカルダノのブロックチェーン上に永久に残り、削除することはできない。影響を受けたウォレットの秘密鍵は、公開データから将来にわたって数学的に復元できる。
このためEMURGOは、侵害されたシードフレーズを新しいウォレットで復元しても、同じ危険にさらされると警告している。同社の回復ガイダンスが示す通り、侵害されているのはアプリではなく、アドレスそのものである。
■4回の被害と1億2,900万ADAの救出
欠陥の悪用は6月21日から23日までの2日間にわたり、4回のウォレット資産移動が発生した。うち3回は互いに独立した外部攻撃者によるもので、残る1回はSecondFiチーム自身による緊急措置だった。
チームは攻撃者が到達する前に、約1億2,900万ADAを第三者のカストディアルウォレットへ移した。これは当時の記事記載レートで約2,240万ドル、1ドル＝164円換算で約36億7,360万円に相当する。EMURGOのインシデント報告によると、確定した被害額の1,610万ADAは、チームが時間内に保護できなかったウォレットの資産である。
EMURGOから調査を依頼されたブロックチェーン分析企業Groom Lakeは、主な攻撃者について、高度な能力と十分な資金を持ち、北朝鮮のLazarus Groupと整合する行動上・技術上の特徴があると判断した。ただし、CoinDeskのサービス停止に関する報道によれば、正式な帰属判断は確認されていない。同じ期間には、これとは無関係の別の攻撃者も異なる一群のウォレットを標的にしていた。
Lazarus Groupによる攻撃との見方が最終的に確認されれば、すでに記録されている一連の活動に新たな事例が加わることになる。TRM Labsのブロックチェーン分析レポートによると、北朝鮮の国家支援を受けたハッカーは、2026年最初の4カ月に発生した暗号資産ハッキング被害額の76％を占めた。わずか2件の攻撃による被害額は約5億7,700万ドル（約946億2,800万円）で、2017年以降に同国の関与が認定された窃取額は累計60億ドル（約9,840億円）を超えている。
近年の大規模な事例には、2025年2月に発生したBybitからの14億6,000万ドル（約2,394億4,000万円）の流出がある。これは現在も単一の暗号資産窃取事件として史上最大とされる。また、The BlockによるTRM Labs関連の報道では、2026年4月にKelpDAOから2億9,200万ドル（約478億8,800万円）が流出した攻撃も挙げられている。円換算はいずれも1ドル＝164円による概算である。
■カルダノ創設組織の失敗とガバナンスの沈黙
SecondFiの閉鎖は、このサービスの成り立ちから見ても大きな制度的意味を持つ。EMURGOが2018年に開始し、約8年間運営したYoroiは、100万人を超えるユーザーに利用されてきた。フルノードを動かしたくないユーザー向けに、Daedalusと並んで推奨されていたカルダノの主要な軽量セルフカストディウォレットだった。
EMURGOは2026年4月、バンコクで開催されたMoney20/20においてYoroiをSecondFiへ改称し、より幅広い「ネオファイナンス」プラットフォームへの進化と位置付けた。攻撃が始まるまで、改称後のサービスが稼働していた期間は3カ月に満たなかった。
EMURGOは単なる第三者サービス事業者ではない。IOG（Input Output Global）、Cardano Foundationと並ぶ、カルダノの3つの共同創設組織の一つである。その主要ウォレット製品の停止は周辺的なサービスの失敗にとどまらず、エコシステムを支える組織構造そのものの信頼性に関わる。
この問題をさらに深刻にしたのが、当初のガバナンス上の沈黙だった。MEXCによる当時の報道では、6月23日に問題が公表されてから数日間、Cardano FoundationとIOGはいずれも事件に関する公式声明を出さなかった。
その後、カルダノ創設者のCharles Hoskinson氏はXで、IOGはEMURGOを所有も管理もしておらず、カルダノネットワーク自体は正常に保たれていると説明した。ただし、EMURGOを直接批判することは避けた。
競合ウォレットの開発元であるため潜在的な利益相反があると明示した独立系セキュリティ企業Tibane Labsは、CryptoTimesが7月6日に報じた調査の中で、攻撃発生の少し前に、EMURGOが従来使用していた監査済みコードが、監査を受けていない第三者製の署名ライブラリへ置き換えられたことが障害につながったと分析している。
■ZilliqaのLedgerアプリでも同種の欠陥が発覚
SecondFiが永久停止を発表した同じ日、ZilliqaもLedgerハードウェアウォレット用アプリに、構造的に同種のノンス生成脆弱性が存在していたことを公表した。CryptoTimesによるZilliqaの公表内容の報道では、この欠陥は2019年から検出されないまま存在していた。
Zilliqaの事例では、Schnorr署名処理のバッファコピーエラーにより、生成されるすべてのノンスの上位64ビットがゼロになっていた。これによりエントロピーが大幅に低下し、攻撃者は約5件のオンチェーン署名を集めれば、一般的なハードウェアと格子基底簡約法を使い、数秒で秘密鍵を再構築できる状態だった。
Zilliqaの公式発表によると、KuCoinは独自調査の過程で、公開されているオンチェーン署名から影響を受けた秘密鍵を復元した。KuCoinによるZilliqa脆弱性の説明でも、この結果が確認されている。その後、韓国のUpbitはZILを注意銘柄に指定し、入出金を停止した。
2件の欠陥の仕組みは異なる。Zilliqaでは秘密鍵の復元に約5件の署名が必要だったのに対し、SecondFiでは1件だけで復元できた。しかし、署名ごとのノンスを生成する際に十分な秘密のエントロピーを組み込まなかったという根本的な問題は共通している。
両事例は、ノンス生成の誤りが理論上の懸念ではなく、実際に運用されているブロックチェーンウォレットで悪用されている脆弱性の一種であることを示している。
■被害ユーザーが直面する永続的なリスクと今後の対応
EMURGOは、影響を受けたユーザーと受けていないユーザーの双方に向けたガイダンスを公開している。最も重要な警告は、侵害されたシードフレーズを別のカルダノウォレットで復元してはならないという点である。
秘密鍵はデバイスやアプリへの侵入によって流出したのではなく、オンチェーンに残された署名を通じて露出している。同じウォレットの識別情報を別のアプリへ移しても保護にはならない。EMURGOの回復ガイダンスが確認している通り、この露出は暗号学的かつ恒久的なものだ。
EMURGOは、ゼロ知識証明を利用した資産回収ポータルを開発しており、現在は第三者による監査を受けている。同社は8月の公開を見込んでいる。このツールは、影響を受けたユーザーが追加の機密情報を開示することなく、資産回収の対象であることを証明できるようにするものだ。
被害を受けていないユーザーがADAを別のプラットフォームへ移行するためのウォレットエクスポートツールも、8月初旬に提供される見込みである。また、自分のウォレットアドレスが侵害された374件に含まれているかを確認できる「隔離された」検証サイトも計画されている。EMURGOは東京で対面式の移行ワークショップを開くことも発表しているが、日程は決まっていない。
SecondFiのAndroidアプリではなく、別個のハードウェアインターフェースを通じてLedgerまたはTrezorでADAを保有し、ハードウェアウォレット側のファームウェアで署名していたユーザーは影響を受けていない。問題のあるノンス生成処理はSecondFiのソフトウェア層だけに存在していた。
■署名ソフトウェアの信頼性が問われる「セルフカストディ」の現実
今回の事件は、暗号資産ユーザーに対するセルフカストディの説明に構造的な欠落があることを示した。「Not your keys, not your coins」という言葉は、秘密鍵を自分で管理することを決定的な安全性の境界として表現している。秘密鍵を自分で管理すれば、カストディ事業者が資産を凍結したり差し押さえたりできないという意味では、その説明は正しい。しかし、鍵を生成して使用するソフトウェアが正しく実装されているかについては何も保証しない。
SecondFiのユーザーは自分の鍵を保有していた。一方で、自分に代わって取引へ署名するコードがノンスを正しく計算しているかを検証する手段は持っていなかった。鍵はユーザー自身のものだったが、署名実装はブラックボックスだった。その実装が失敗したとき、セルフカストディを支える数学的な保証も崩壊した。ユーザーの操作に問題があったのではなく、暗号関数への入力が一つ欠けていたことが原因である。
Taylor Monahan氏は今回の実装を「独自の暗号を作る行為」と表現した。これはセキュリティ分野で、監査済みで実運用の実績がある暗号実装を独自実装に置き換える危険性を指す言い回しである。この表現は、事件の根本にあるガバナンス上の問題を示している。カルダノの共同創設組織が、監査を受けていない署名コードを本番環境へ投入したという問題だ。
CryptoTimesが報じたTibane Labsの調査によると、カルダノエコシステムの監査済みオープンソース標準であるCardano Serialization Libraryは使用されず、独立した監査担当者が確認していない独自コードが採用されていた。
同じ日に公表されたZilliqaとLedgerの問題は、これがEMURGOだけの問題ではない可能性を示している。現在利用されているさまざまな署名方式やプラットフォーム実装について、署名処理で特に重要な機能であるノンス生成が、ブロックチェーンウォレット業界全体で体系的に監査されてこなかった可能性がある。
■注目ポイントQ&A
●ハードウェアウォレットを使用していればSecondFiの不具合の影響は受けませんか？
はい。LedgerやTrezorなどのハードウェアウォレット側のファームウェアで署名していた場合、SecondFiの署名欠陥による影響は受けていません。この欠陥はハードウェアウォレットのファームウェアではなく、SecondFiのAndroidソフトウェア層に存在していました。SecondFiの画面にハードウェアウォレットを接続していても、署名をハードウェア側で処理していたユーザーは対象外です。
ただし、2026年7月22日に別途公表されたZilliqaとLedgerのノンス脆弱性は、Ledger上でZilliqaのネイティブ取引用アプリを使用する場合に関係する、別のアプリケーションの別の脆弱性です。ハードウェアウォレットの安全性は、その周囲で使用されるソフトウェアを含む一連の仕組みに左右されます。
●被害を受けたシードフレーズを別のウォレットに入力すれば安全に資産を復元できますか？
いいえ。同じシードフレーズを別のカルダノウォレットで復元しても、安全にはなりません。秘密鍵の露出箇所はアプリではなく、カルダノのブロックチェーン上にすでに公開され、恒久的に残っている署名記録だからです。
どのウォレットソフトウェアで秘密鍵を管理しても、第三者はその署名から秘密鍵を数学的に再構築できます。同じシードフレーズを別のウォレットで復元しても、オンチェーンの署名記録は変わりません。影響を受けたユーザーは侵害されたアドレスを完全に放棄し、影響を受けていないクリーンなウォレットアプリで新しい鍵を生成する必要があります。
旧アドレスに資産が残っている場合の移動にも注意が必要です。その送金でも新たな署名が公開されるため、すでに秘密鍵を復元した攻撃者による先回り取引を招く可能性があります。
●秘密鍵が公開されていないのに、なぜ攻撃者は鍵を取得できたのですか？
秘密鍵そのものが公開されたわけではありませんが、すべてのブロックチェーン取引と同様に、署名は公開されていました。署名方式が正しく実装されていれば、署名ごとのノンスが第三者には分からないため、秘密鍵を明らかにせずに所有権を証明できます。
しかし、SecondFiのAndroidアプリは公開されている取引データだけを使ってノンスを計算していました。このため、署名を一つ確認した第三者はノンスを独自に計算し、そこから代数方程式を解いて秘密鍵を求めることができました。デバイスへのアクセスは必要なく、攻撃者が必要としたのは公開された取引記録だけでした。この情報は、影響を受けた各ウォレットが最初に取引した時点からカルダノのブロックチェーン上に残っています。
●被害を受けていないSecondFiユーザーは今すぐ何をすべきですか？
SecondFiのAndroidアプリを利用し、まだ移行していない場合は、クリーンなウォレットアプリを使って資産を速やかに移動してください。その際、SecondFiで使用していたシードフレーズを先に新しいウォレットへ復元してはいけません。8月に公開される予定のEMURGO公式回復ツールの案内に従い、旧アドレスから新しく生成したアドレスへ直接移す必要があります。
ハードウェアウォレット側で署名していた場合は、今回の脆弱性の影響を受けていません。SecondFiへの改称前にYoroiを使用していた場合は、EMURGOが準備している検証サイトで、自分のアドレスが侵害された374件に含まれるかを確認してください。SecondFiに接続していないカルダノ資産について、直ちに必要な対応はありません。カルダノネットワーク自体が侵害されたわけではありません。
元記事: Cardano Wallet Shuts Down: Signing Flaw Let Attackers Steal Keys From Public Blockchain