SecondFi公式が2026年7月1日、インシデント発生から初めてとなる包括的なQ&A形式のFAQを公開しました。これまで複数回に分かれて出されていた発表を一本化し、「何が分かっていて、何がまだ確定していないか」を読者が一望できる形にしたことがまず目を引きます。今回はこのFAQの中から、これまでの発表と比べて新しく明らかになった点を中心に整理します。
■ 初のQ&A形式FAQ ― これまでの発表を一本化
FAQはまず被害範囲を改めて明示しています。
“4 distinct draining events occurred. 3 were executed by external threat actors, resulting in a loss of approximately 16M ADA across 374 addresses. We are finalising an independent technical review with a leading blockchain security firm to validate our findings.”
4件の資金流出イベントのうち3件が外部の攻撃者によるもので、被害額は約1,600万ADA・374アドレスという数字はこれまでの発表を踏襲したものです。一方で「大手ブロックチェーンセキュリティ会社による独立検証」を最終化中という表現は、事件発生から1週間以上を経てもなお公式の結論はまだ出ていないことを示しています。
■ 「影響ウォレット」の範囲を明確化 ― 全Yoroi生成ではない
今回のFAQで実務的に大きいのは、影響範囲の切り分けがより具体的に言語化された点です。
“This incident affects a specific set of wallet addresses, not all Yoroi wallets. The vulnerability exists at the address and private key level for affected wallets.”
脆弱性は「Yoroiで生成されたウォレット全般」ではなく、特定のアドレス・秘密鍵の集合に限定されると明言されています。さらにハードウェアウォレットの利用者については、次のように明確な線引きがされました。
“Hardware wallet users were not compromised by this incident, whether accessed through SecondFi or Yoroi.”
Ledger や Trezor などのハードウェアウォレットをSecondFi・Yoroiどちらの画面から見ていた場合でも、今回の侵害の対象外だと公式が明言した形です。もっとも「自分がその『特定の集合』に含まれるかどうか」を利用者自身が判断する手段はこれまで存在していませんでした。
■ 資産回復チェッカーツールの提供予告
「自分のウォレットは影響を受けているのか」という最も基本的な問いに対し、公式は次のように回答しています。
“We will be releasing an asset recovery wallet checker tool.”
ツールの提供時期や具体的な確認方法はまだ示されていませんが、これまで利用者が独自の判断や第三者製ツールに頼らざるを得なかった状況に対し、公式が確認手段を用意すると約束した点は新しい前進です。
■ 129M ADAの行方 ― IntersectMBOとの協議とオンチェーンclaimsポータル
攻撃者に到達される前に緊急退避したとされる資産の扱いについても、これまでより具体的な言及がありました。
“Assets secured through our emergency rescue response are protected and accessible, and we are in discussion with @IntersectMBO on the custody mechanism to hold them securely and return them to users. … We intend to return the assets in their original form.”
保管を担うカストディアンの名称は依然として非公開ですが、協議相手として Intersect MBO の名が公式の言葉で初めて示された点は注目です。返還にあたっては「オンチェーンのclaimsポータル」を用意し、プロセスの検証が済み次第あらためて案内するとしています。SIPOが継続して追跡している公開台帳データでも、この資産が退避された先のアドレスは本稿執筆時点(7月1日13時台)で残高約1億2,943万ADAのまま変化がなく、取引所などへの移動は確認されていません。カストディの枠組みが固まるまで、資産そのものは静止した状態が続いています。
■ ステーキング・DeFi・NIGHTトークンはどうなるのか
ADA以外の資産についても質問が寄せられていますが、回答はまだ方向性を示す段階にとどまります。
“Because every protocol works differently, we are working directly with the DEXes and LPs across the ecosystem to help their affected users. We will share more detail as this progresses.”
ステーキング・DeFiポジション・NIGHTトークンなどは、プロトコルごとに個別協議が進められている段階で、具体的な補償の枠組みはまだ示されていません。SIPOの委任者の中にもこうしたポジションを保有する方がいると想定されるため、この論点は続報で優先的に追いかけます。
■ アプリを削除してはいけない理由と、タイムラインの現実
資産の請求(クレーム)に関する実務面でも重要な注意点が示されました。
“Do not delete the SecondFi app under any circumstances. We strongly advise retaining both the app and your seed phrase, as at least one of these two will be required to claim your assets.”
クレーム手続きには「アプリ」または「リカバリーフレーズ」の少なくとも一方が必要とされており、アプリをすでに削除してしまった場合はリカバリーフレーズだけが唯一の頼りになります。なお、サポートチケット自体はアプリを開けなくても support.secondfi.io のWebポータルからブラウザ経由で提出可能です。
返還までの見通しについては、これまでEMURGOが示していた「2週間」という目安に対し、公式は次のように述べています。
“This process is complex and must be safe and therefore may require additional time beyond our previously estimated two-week timeline.”
安全性を優先する複雑なプロセスであることを理由に、当初の見積もりより時間がかかる可能性が明言された形です。焦らず公式の案内を待つのが、引き続き最も安全な選択と言えます。
■ 詐欺への警戒は変わらず
最後に、公式は改めて注意を強めています。
“SecondFi will NEVER request private keys, recovery phrases, or wallet credentials under any circumstances. We will never DM you first.”
公式チャンネルは @secondfiapp・@secondfi_jp・support.secondfi.io の3つのみです。「サポート」「資産回復」「補償」を名乗るDMやリンクは、公式の案内を装った詐欺である可能性を常に疑ってください。
今回のFAQは、これまで散発的だった発表を一本化した点に価値がある一方、カストディアンの具体名や補償の正式な手続きといった核心部分は依然として「協議中」「準備中」にとどまります。次に見るべきは、資産回復チェッカーツールの実際のリリース、オンチェーンclaimsポータルの稼働、そしてDeFi・NIGHTトークンの補償枠組みの発表です。SIPOはこれらの進展と、退避先アドレスの動きを引き続き追跡していきます。
参考リンク・一次ソース
- SecondFi公式 ― Incident FAQ(2026年7月1日):https://x.com/secondfiapp/status/2072169308311212492
- SIPO 前回の統合解説(Deep Dive):https://sipo.tokyo/post-46397/
- SIPO 自衛Signal(踏みやすい罠への注意):https://sipo.tokyo/46400-2/
- 請求窓口(公式):https://support.secondfi.io
