SecondFi、回収不能NFT1件につき30 ADAの補償を提示、Cardano(ADA)ハッキングで

SecondFiの返金ポータルが開設

Cardano (ADA)向け暗号資産ウォレットを提供するSecondFiの鍵管理コードに潜んでいた欠陥が、一連の騒動の発端だった。2026年6月、取引ごとの署名に使われる単発の数値(ノンス)をウォレットが生成する方式に不具合があり、利用者の秘密鍵が露出。第2の金融プラットフォームからは合計でおよそ2,100万ドル相当の資産が流出し、プロジェクトはこの額を被害の代表値として位置づけている。欠陥がどう本番環境まで到達したかについて、SecondFiは問題の箇所を特定した完全な事後報告書を公表していない。インシデント当時のオンチェーン記録は二つの動きを示す。悪意ある攻撃者が被害ウォレットから240万ドルを直接引き出した一方、正体不明のホワイトハットが、プロジェクトが「セキュリティ対応の一環」と説明する形で1,850万ドルを別途引き上げた。あれから4か月。夏を通じて会社が繰り返し延期を告げた末、返金フェーズがようやく動き出した。SecondFiは水曜日に返金ポータルを公開し、被害者は6月のハッキング時点の「インシデントスナップショット」に基づいて損失を査定してもらえる。ポータル上で被害を受けたウォレットを確認し、流出した資産の請求を提出する流れだ。会社側はスナップショットがあくまで推定値であることを強調し、「最終額は変わる可能性がある」と述べている。元の形での返還が不可能な資産には、固定額の30 ADA(プロジェクトの設定レートで7.60ドル相当)が提示される。対象は回収不能なNFT1件ごとで、この資産クラスの市場価値はほぼ無価値のものから提示額を大きく上回るものまで幅がある。請求には新しい受け入れ先も必要だ。被害者は新規に作成したウォレットアドレスを提出しなければならず、返還資産を6月のハッキングに接触したアドレスから切り離す仕組みだ。Cardanoの価格はこの24時間で4.4%下落しており、4か月をかけて整えられた計画に対する市場の反応は静かだ。

8月締め切りが9月中へずれ込んだ

ポータルの公開は予定通りとは言えなかった。SecondFiは当初、開設を8月に予定していたが、同社はこの日程を9月中に何度も先送りし、水曜日の公開に至った。被害者はその間、正式な請求窓口がないまま待たされることになった。請求手続きは段階的に進み、各段階で待ち時間が加算される。まず被害ウォレットのアドレスをインシデントスナップショットと照合し、次いでツールが返還対象資産の概算内訳を作成する。返還用の受け入れ先として、新規作成したウォレットアドレスの提出が続く。その後、請求の正当性を元データを明かさずに証明する暗号技術であるゼロ知識証明が生成されるが、この工程に最大15分かかる。請求処理自体も最大5営業日を要するため、順調に進んでも10月中旬に届く計算だ。公式ガイドの中で目を引く指示がある。被害を受けたウォレットのリカバリーフレーズ、つまりHDウォレット内の全アドレスを統括するマスターシードを、SecondFiのウェブページに直接入力するよう推奨しているのだ。読み込んだページが正規品でなければ、偽サイトや中間者攻撃に利用者がさらされる。ポータルが稼働してもこのリスクは消えない。脅威の有無はSecondFi側の意図とは無関係で、見た目がそっくりのドメイン一つで十分だからだ。返金業務が今やこのアルトコイン系ウォレット企業の全業務だ。SecondFiはインシデント後、資産回収に専念するため事業の縮小を発表している。親会社にも評判面での代償が及んだ。Cardano (ADA)の共同設立者でSecondFiの生みの親であるEmurgoは、このハッキングを受け、Token2049のブース運営を手放した。COINOTAGが今週初めに報じたToken2049ブースをめぐる問題に関連する一幕だ。

スナップショット推定値とNFT市場価格のズレ

ポータル内で確認すべき数値は、市場価値にかかわらず回収不能NFT1件ごとに適用される固定額の30 ADA(約7.60ドル)だ。低価値のコレクション保有者には下限が保障される一方、この水準を大きく上回る取引実績を持つ資産の保有者は差額を飲み込むことになる。「最終額は変わる可能性がある」という但し書きにより、スナップショットの推定値すら保証の対象外だ。フレーズ入力の推奨は残された運用上のリスクである。流出経験後に資産を移す保有者は、コールドウォレットの利用を基本線とすべきで、当社のLedgerを使ったADAのステーキング解説ガイドはその一つの経路を扱っている。攻撃者の取引ハッシュも完全な事後報告書もまだ公表されておらず、240万ドルと1,850万ドルの内訳は、当面、6月の記録に関するプロジェクト側の説明に拠っている。