LIVE ADA-- MCAP-- TVL-- STAKE-- EPOCH-- Cardano & Midnight 総合情報ポータル
SIPO
𝕏 🔍
速報 Cardano、Dijkstra時代の開発計画を進行中 2日前 速報一覧 →
HOME › Deep Dive › SecondFi の移行ツールが公開されました——手順は 4 ステップ、委任は両方外れ、NIGHT の受け取り先は変更できません
Deep Dive

SecondFi の移行ツールが公開されました——手順は 4 ステップ、委任は両方外れ、NIGHT の受け取り先は変更できません

2026-08-20SIPO

SecondFi のウォレット移行ツールが、日本時間 8 月 20 日未明の公式告知をもって利用できるようになりました。6 月のインシデント以降、公式の案内はほぼ一貫して「公式の手順が出るまで、それ以外のことはしないでください」でした。その手順の一本目が、約 8 週間を経てようやく利用者の手元に届いたことになります。対象は被害を受けた方だけではありません。SecondFi ウォレットに残高が残っているすべての方が使うものです。一方で、移行の瞬間にステークプールと DRep の委任は両方外れ、Midnight の NIGHT の受け取り先アドレスは移行しても変わりません。今回は、公開された手順書を読み込んだうえで、実際に何をどの順番ですればよいのか、そして公式ドキュメントでもまだ答えが出ていない論点はどこかを整理します。

移行ツールは公開されました。対象は「残高が残っている人全員」です

SecondFi は 8 月 20 日未明（日本時間）、ウォレット移行ツールが SecondFi アプリで利用可能になったと告知しました。あわせて、手順を説明した「SecondFi/Yoroi Wallet Migration FAQ」が公式ヘルプセンターで公開されています。この FAQ の更新日は 2026 年 8 月 19 日で、現時点でもっとも詳しい公式の手順書です。

まず押さえておきたいのは、対象範囲です。

The wallet migration tool is for all users who still have a remaining balance. Anyone holding assets in SecondFi needs to migrate whether or not their wallet was affected by the incident.

SecondFi は事業を終了します。したがって、被害の有無にかかわらず、ウォレットに資産が残っているなら移す必要があります。公式 FAQ は「ウォレットが閉じる前に移してください。そのあとは恒久的にアクセスを失う可能性があります」と書いています。

逆に、インシデントで資産が抜かれてウォレットが空になっている方は、移行するものがありません。その場合の経路は移行ツールではなく、後述するリカバリー（資産回復）の手続きです。

もうひとつ大事なのは、新しいアプリも、専用の移行サイトも存在しないという点です。移行ツールは、すでに入れてある SecondFi アプリを更新すると現れます。SecondFi は 8 月 17 日のセキュリティ告知でこう明言しています。

There is no separate migration application, no standalone migration website, and no new application to install. Update the existing SecondFi application through the official app store on your device.

手元のアプリが本物かどうかは、開発者名とバージョンで確かめられます。SIPO が 8 月 20 日に確認したところ、iOS 版は 10.4.2（リリースノートは「- Wallet migration」）、開発者名は EMURGO Co., Ltd. でした。Google Play 側はパッケージ名が com.emurgo（Yoroi 時代から変わっていません）です。アプリストアで検索して出てきたものを入れるのではなく、この開発者名と一致するかを見てください。

「Yoroi で作ったが、SecondFi は一度も開いていない」場合はどうすればよいか

ここは判断が分かれるところなので、丁寧に整理します。ダイダロスや Lace、Eternl をメインで使っていて、過去に Yoroi でもウォレットを作った。しかしリブランド後の SecondFi は開いたことがない。こういう方は少なくありません。

まず、大前提を 2 つ。

ひとつめ。ウォレットはアプリの中にあるのではありません。資産は Cardano のチェーン上にあり、それを動かす鍵はあなたのリカバリーフレーズです。SecondFi が終了しても、シードを持っている限り、同じウォレットは Lace や Eternl など他のアプリから開けます。「アプリが消えると資産も消える」わけではありません。

ふたつめ。影響を受けたかどうかは「アプリを開いたか」ではなく「アドレス」で決まります。公式 FAQ の記述は明確です。

Are all Yoroi-generated wallets compromised? No. This incident affects a specific set of wallet addresses, not all Yoroi wallets. The vulnerability exists at the address and private key level for affected wallets.

根本原因も、この理解を裏づけています。7 月 22 日の公式説明によれば、欠陥があったのは取引ごとの署名を生成する部分でした。

The root cause was a highly subtle flaw in how the wallet software generated per-transaction signatures. In simplified terms, a value that should have been derived from secret information could, under certain conditions, be computed from public transaction data. This could enable affected private key material to be derived from information visible on the public blockchain.

つまり、鍵の材料が漏れる経路はチェーン上に公開された署名です。だからこそ、ハードウェアウォレット利用者は影響を受けていません。署名がソフトウェアではなくデバイスの中で行われるからです。

I used Yoroi as a view-only window to a hardware wallet. Am I affected? No. Hardware wallet users were not compromised by this incident, whether accessed through SecondFi or Yoroi.

そのうえで、実務的な答えです。

「SecondFi を開いていないから大丈夫」という自己判断はしないでください。判定の単位はアドレスであって、アプリを開いたかどうかではありません。そして重要なのは、SecondFi を一度も開かずに、自分が影響対象かどうかを確認できるという点です。公式のウォレットチェッカー checker.secondfi.io は、公開アドレスを入力するだけで判定します。署名もリカバリーフレーズも要求しません。ページ下部には「All lookups are performed locally — your address is never sent to any server」と明記されており、照会はブラウザの中で完結します。SIPO が 8 月 20 日に確認した時点で、このチェッカーは稼働しています。

該当しなかった場合は「This address is not in our current list of affected addresses」と表示され、続けて「このリストは最終版ではありません。影響を受けたとお考えの場合は、請求手続きに関する公式告知にご注意ください」と案内されます。「該当なし」は「影響を受けていないことの確定」ではない、という但し書きが結果画面自体に書かれています。

確認するときの注意が 2 つあります。ひとつは、ステークアドレス（stake1… ）ではなく、ペイメントアドレス（addr1… ）でも照会すること。脆弱性はペイメントアドレス単位で語られており、チェッカーがステークアドレスをどう扱うかは公式ドキュメントに記載がありません。もうひとつは、公式が「statuses are based on preliminary, non-final data」と述べているとおり、掲載内容は暫定であり、今後更新されうることです。「該当なし」と出ても、それを最終確定と受け取らないでください。

もうひとつの確認手段: Lace に組み込まれたスキャン

確認の経路はもうひとつあります。Cardano ウォレットの Lace には、この脆弱性に該当する署名がアカウントのオンチェーン履歴にあるかを調べるスキャン機能が組み込まれています。SecondFi 側のチェッカーとは提供元が違うため、独立した二つ目の確認として使えます。

結果表示の文面が、この事案の性質をよく表しています。異常が検出されなかった場合、Lace は「このアカウントのオンチェーン履歴において、この脆弱性に該当する取引署名は見つかりませんでした」と表示し、続けてこう注意します。

ご注意ください: オンチェーンで一度も署名していない鍵は確認する対象がないため、本結果は他の問題を否定するものではありません。

この一文が、判定の構造そのものです。この脆弱性は、チェーン上に公開された署名を通じて鍵の材料が漏れるものでした。だからスキャンは署名を探します。そして一度も署名していない鍵には、探す対象がありません。

ここは誤読しやすいので、はっきりさせておきます。署名がないことは、この脆弱性に関しては「漏れる経路が発生していない」ことを意味します。Lace の注意書きが否定していないのは「他の問題」、つまり dApp のパーミッションやメッセージ署名など、この脆弱性とは別の論点です。本件の欠陥に限れば、署名を出していない鍵は、この経路では露出していません。

「一度も触っていない」を正確に確かめる

そのうえで、何が「署名」にあたるかは正確に押さえてください。感覚的な「触っていない」と、技術的な「署名していない」はずれることがあります。

  • 受け取っただけ（誰かから ADA やトークンが送られてきた）——あなたの署名は発生していません
  • 残高を見ただけ——署名は発生していません
  • ステークプールに委任した——署名が発生しています
  • ステーキング報酬を引き出した——署名が発生しています
  • 送金・スワップ・NFT の売買をした——署名が発生しています

そして、「いつ署名したか」も同じくらい重要です。ここは取り違えやすいところなので、はっきり書きます。危ないのは「事件のあとに署名したかどうか」ではありません。SecondFi は 6 月 23 日以降フロントエンドを停止し、その後もクォランティンモードで送金機能を止めていました。事件のあとは、そもそも SecondFi で署名できません。したがって「事件後に署名していない」は、ほぼ全員に当てはまる条件であって、判定の役に立ちません。

問題になるのは、欠陥のあったソフトウェアで署名した過去があるかです。一度でもその署名がチェーンに載っていれば、その記録は消えません。逆に、そういう署名が一度もなければ、この経路では露出していません。判定の軸は「事件の前か後か」ではなく「その署名を出したことがあるか」です。

とくに見落とされやすいのが委任です。ステーキング報酬が貯まっているウォレットは、どこかの時点で委任の署名を行っています。「入れたまま放置していた」つもりでも、委任していれば署名は存在します。

そして、このスキャンの実務上の強みは対象範囲にあります。Lace が見るのは「このアカウントのオンチェーン履歴」であり、直近だけではありません。そのアカウントがこれまでに出したすべての署名が対象になります。したがって、リブランド前の Yoroi 時代の署名も含めて検査されます。「どのバージョンで署名したか」を記憶や推測でたどる必要はなく、結果がそのまま答えになります。

この点は、SecondFi 側のチェッカーとの性格の違いでもあります。チェッカーは「自分のアドレスが対象リストに載っているか」の照会で、リストの網羅性に依存します。Lace のスキャンは署名そのものを検査するため、リストに依存しません。二つを併用すると、性質の違う二方向から確認できます。

また、Lace のスキャンはアカウント単位です。Lace で普段使っているウォレットをスキャンしても、別に作った Yoroi 由来のウォレットの状態はわかりません。Yoroi 由来のウォレットを確認したい場合は、そのアカウントを対象にスキャンするか、シードをどこにも入力せずに済む checker.secondfi.io で公開アドレスを照会するのが確実です。

あわせて、判断材料としてもうひとつ。この攻撃は 6 月 21 日から 23 日にかけて、短時間で機械的に実行されました。SIPO が Koios で全数を追った結果では、19 時間ほどの間に 2,854 の送金元アドレスから資産が抜かれ、1 つの集約先へまとめられています。攻撃者は鍵を得た対象を寝かせずに掃き出しました。つまり、鍵が導出されていれば、その時点で抜かれていた可能性が高いということです。2 か月が経ったいまも資産がそのまま残っているという事実は、それ自体が判断材料になります。ただしこれは確率の話であって、証明ではありません。確認はチェッカーとスキャンで行ってください。

なお、欠陥があったバージョンの範囲について、複数の技術解説や報道は「v10.0.3 から v10.0.6」「6 月 8 日ごろの配信」と伝えています。ただしSecondFi の公式ドキュメントにバージョン範囲の記載はありませんので、本記事では参考情報として扱います。判断は、バージョンの記憶をたどるのではなく、チェッカーとスキャンの結果で行ってください。

そのうえで、行動は次のように分かれます。

チェッカーで該当がなく、資産が残っている場合。そのまま置いておいても、チェーン上から資産が消えることはありません。ただし「アプリが終了する」以上、いずれ移すことになります。移行ツールを使うのが公式に支持された経路で、ステーク解除・報酬の引き出し・トークンと NFT の取りこぼし防止をまとめて処理してくれる分、手作業より確実です。急ぐ必要はありませんが、放置し続ける理由もありません。

チェッカーで該当があった場合。公式の案内は「自分でリカバリーフレーズを別のウォレットに復元しないでください」です。脆弱性はアドレスと鍵のレベルにあるため、別のアプリで開き直しても同じ鍵のままで、追加の署名はむしろリスクを増やします。この場合は、移行ツールと、9 月に予定されているリカバリーポータルの案内に従ってください。

一度も署名していないウォレットの場合。この脆弱性による露出は発生していません。ただし、確認できたのは「この欠陥に該当する署名がない」ことであって、将来にわたる安全の保証ではありません。判断材料としては、こう考えるのが実務的です。移すコストは 1 ADA に満たないネットワーク手数料ですが、判断を誤ったときのコストは全額です。この非対称を踏まえると、新しいシードで作り直したウォレット（できればハードウェアウォレット）へ移しておくのは、過剰な用心ではありません。

そのとき大事なのが、どのソフトウェアで署名するかです。問題があったのは SecondFi の署名処理であって、鍵そのものの持ち方ではありません。Lace や Daedalus、Eternl など別のウォレットから署名すれば、署名はそれぞれの実装で正しく生成されます。移すためだけに SecondFi を入れ直す必要はありません。そして、移した先の新しいウォレットには古いシードを使い回さないでください。

ハードウェアウォレットで使っていた場合。影響対象外です。アプリ内での移行もできません（後述）。急ぐ必要はありません。

用意するのは、自分で鍵を管理できる宛先ウォレット 1 つだけです

始める前の準備は、実質ひとつです。自分で選んだプロバイダーで新しい Cardano ウォレットを作り、その受け取りアドレスを手元に用意しておくこと。公式は、可能であればハードウェアウォレットを勧めています。秘密鍵がオフラインに保たれるため、端末が侵害されていても資産が守られるからです。

プロバイダーの指定はありません。公式 FAQ は「Cardano エコシステムには複数の実績あるウォレットがあり、それぞれ特徴が違うので、ご自身で調べてください。特定のプロバイダーを推奨することはしません」としています。宛先は新規に作ったウォレットである必要はありますが、Glacier Drop のときのような「未使用アドレス」の条件は課されていません。

絶対にしてはいけないのが、取引所の入金アドレスを宛先にすることです。

No. Exchange deposit addresses are not supported by this flow, and sending to one may result in the permanent loss of your assets. Multi-asset and NFT transfers to exchange deposit addresses are commonly lost, and exchanges vary in which Cardano assets they support.

理由は Cardano の作りにあります。移行ツールは ADA だけでなくネイティブトークンと NFT も一緒に送ります。取引所の入金アドレスは通常「その取引所が対応している通貨」しか受け取る想定になっていないため、同梱された未対応のトークンや NFT はそのまま行方不明になりやすいのです。移行の途中で「宛先は自分が管理する Cardano ウォレットであり、取引所の入金アドレスではない」というチェックボックスにチェックを求められます。

ここで、見落とされやすい重要な但し書きがあります。アプリはアドレスを検証しますが、その検証には限界があります。

Validation checks only format, network compatibility, and identified blocked addresses; it does not verify ownership, security, legitimacy, exchange status, or recoverability.

アプリが弾いてくれるのは、形式が壊れているアドレス、自分自身の現在のウォレットアドレス、そしてインシデントに関連する（影響を受けた・隔離された）アドレスの 3 種類だけです。そのアドレスがあなたのものかどうか、取引所のものかどうかは、アプリは判定していません。取引所アドレスの排除は、あなたが押すチェックボックスだけが担保しています。つまりここは、機械ではなく人間が最後の砦になっている箇所です。

なお、SecondFi でハードウェアウォレットを接続して使っている方は、アプリ内での移行はできません。

Hardware wallets cannot be migrated in-app. Instead, set your wallet up with an new Cardano wallet provider, using that provider’s official hardware-wallet integration. Your assets stay where they are. You are simply accessing the same wallet through a different provider.

資産は動きません。同じウォレットを別のアプリから見にいくだけです。

手順は 4 ステップ。署名するまで、何も確定しません

公式 FAQ が示す手順は次の 4 つです。

Open the SecondFi app and tap the migration card on your home screen.
Enter the destination address of the Cardano wallet you want to migrate to. You can paste it or scan a QR code. Check it carefully, tick the confirmation checkbox, and continue.
Review each transaction. If your wallet is staked, the first transaction unstakes it; the send transaction then moves your assets. Each screen shows the amounts, the from and to addresses, and the network fee.
Sign to submit the transactions. Signing is confirmed with your biometric or password.

ツールが自動でやってくれるのは、ステーキング報酬の引き出し、ステークキーの登録解除、そして「何も取り残さないように」全トークン・全 NFT を含んだトランザクションの組み立てです。手作業でやると必ずどこかを取りこぼす部分を、まとめて処理してくれます。未受取のステーキング報酬も、この過程で回収されて移送に含まれます。

署名の回数が 1 回で済まないことがあります。ステーク中のウォレットは「ステーク解除」と「送金」で 2 回。資産の種類が多い大きなウォレットは、Cardano のトランザクションサイズ上限に引っかかるため、送金がさらに分割されます。その場合は画面に「Transaction 1 of N」と番号が出ます。番号が出ても異常ではありません。

ステーク解除で戻ってくる 2 ADA のデポジットは、元のウォレットには戻らず宛先ウォレットへ直接送られます。これは後で効いてくる仕様なので、覚えておいてください。

手数料は、通常の Cardano のネットワーク手数料が各トランザクションにかかります。金額は署名前の確認画面に表示されます。

途中でやめても壊れません。「署名するまで何も確定しない」ので、署名前にアプリを閉じた場合は中途半端な状態は残らず、最初からやり直すだけです。

逆に、署名した後は取り消せません。署名・送信されたブロックチェーンの送金は元に戻せない、と公式は繰り返し書いています。宛先アドレスは、先頭と末尾の数文字だけでなく全体を照合してください。クリップボードの中身を書き換えるマルウェアは実在し、SecondFi 自身が 8 月 17 日の告知で警告しています。

署名後、ウォレットが空に見えるのに「まだ進行中」と表示されることがあります。これはブロックチェーンの確定待ちで、通常は数分です。確定が遅いというだけの理由で、移行をもう一度実行しないでください。完了すると「Cardano Asset Migration Completed」と表示されます。

移行が終わったら、ステークプールと DRep を「両方」あらためて委任してください

ステーキングをされている方にとって、実務上いちばん効くのがここです。

Yes. As part of the migration, your ADA was unstaked, so its stake pool and DRep delegations are no longer active.

影響は二重です。DRep の委任だけでなく、ステークプールの委任も同時に外れます。新しいウォレットで委任し直すまでのエポックは、ステーキング報酬の対象外になります。移行そのものは数分で終わりますが、「移して終わり」にすると、そのあと報酬が入らない期間が静かに続くことになります。移行と再委任は、一続きの作業として考えてください。

DRep について、公式 FAQ は一歩踏み込んだ書き方をしています。

You will need to choose a different DRep. We recommend transitioning to a DRep with a proven voting record and strong delegation history. There are many in the Cardano ecosystem who are exceptionally qualified.

「別の DRep を選ぶ必要がある」と明示されています。投票実績と委任履歴を見て選んでください、という案内です。なお SIPO 自身もステークプールと DRep を運用していますが、委任先はご自身で調べて決めていただくのがよいと考えています。投票履歴は公開されているので、実際にどう投票してきたかを見て判断できます。

NIGHT の受け取り先アドレスは「請求時に固定され、変更できません」

公開後のリプライで、公式からの回答が出ていない論点として目立つのが Midnight の NIGHT です。「移行は成功したが、保留中の解凍分はどうなるのか」「移行したのに、残りの Glacier Drop の NIGHT が古いアドレスに紐づいたままだ」という質問が繰り返し出ています。

まず切り分けます。すでにウォレットの中にネイティブトークンとして入っている NIGHT は、移行ツールで一緒に移ります。実際に「ADA と NIGHT を移せた」という報告も出ています。問題はこれから解凍される分です。

Midnight の公式 FAQ に、決定的な記述があります。

Redeemed NIGHT tokens are transferred exclusively to the Destination Address specified in the associated claim(s). Once set during a claim, this address cannot be changed.

受け取り先アドレスは請求時に確定し、あとから変更できません。そして解凍分は、そのアドレスにのみ送られます。SecondFi の移行ツールは、この設定を書き換える機能を持っていません。

では、移行すると請求できなくなるのか。いいえ、請求権そのものは失われません。受け取り先アドレスはあなたのシードから導出されたあなたのアドレスであり、移行してもチェーン上から消えるわけではないからです。移行ツールが行うのは残高を移すことであって、アドレスを廃止することではありません。

そのうえで、実務上の注意が 2 つあります。

注意1: 解凍分は、移行先ではなく古いアドレスに届き続けます

解凍のたびに、そのアドレスへ受け取り、そこから安全な場所へ移す、という作業が繰り返し発生します。そのアドレスが影響対象だった場合、受け取りのたびに、影響を受けたアドレスへ資産が入ることになります。

ここで、回数を減らす方法があります。Midnight は償還のタイミングを選べる設計です。

You can choose to redeem each share as it thaws, or wait until your entire allocation thaws and redeem your whole allocation at once.

解凍は 4 回に分けて 25% ずつ、90 日間隔で進みます。都度償還してもよいし、全部が解凍されるまで待って一度に償還してもかまいません。Midnight 側も「コストを抑えるには全部解凍されてから一度に償還する方法がある」と案内しています。解凍期間は 360 日で、そのあとに 90 日の猶予期間があります。一括にまとめれば、古いアドレスに触る回数そのものを減らせます。

注意2: 償還は「そのアドレスを含むウォレット」から実行することになります

Midnight の FAQ は、償還には利用者自身が Cardano のトランザクションを実行する必要があり、その手数料は ADA で支払うと明記しています。

redeeming a Glacier Drop or Scavenger Mine claim requires executing Cardano transactions, thus requiring claimants to cover the cost of the Cardano network transaction fee, denominated in ADA tokens.

移行ツールは元のウォレットを空にする設計ですから、移行後にそのウォレットの ADA はゼロになります。Cardano のトランザクションは、消費する UTxO を持つウォレットから組み立てられます。したがって、受け取り先アドレスを含むウォレットの残高がゼロだと、そのままでは償還のトランザクションを作れません。

ただし、これは行き止まりではありません。必要な額は小さく、そしてその ADA は自分の持っている別のウォレットから送ってかまいません。手数料の出どころが問題なのではなく、「受け取り先アドレスを含むウォレットに ADA が入っている必要がある」という一点だけが制約です。ウォレットプロバイダーの NuFi が公開している償還手順書では、必要額の目安を約 0.2 ADA の手数料としています。少額を送り直せば償還できます。

実務上、より効いてくるのはむしろ「どのアプリで償還するか」です。SecondFi はクォランティンモードで動いており、公式の説明は次のとおりです。

It’s the same application, with transactions disabled You can view your balance and wallet address only You cannot send, swap, or move funds

つまり、SecondFi アプリで有効になっているのは移行のフローであって、償還ポータルへ接続して任意のトランザクションに署名する機能ではありません。償還は、同じシードを別のウォレットアプリで開いて行うことになります。

受け取り先アドレスが影響対象でなかった場合、これは通常の自己管理の範囲の操作です。一方、影響対象だった場合は、公式の「自分でリカバリーフレーズを別のウォレットへ復元しないでください」という案内と正面から衝突します。この組み合わせについて、SecondFi の FAQ にも Midnight の FAQ にも記載がありません。該当する方は、移行を進める前に SecondFi（support.secondfi.io）と Midnight 側の公式窓口の両方に確認されることをお勧めします。

なお、この構造は Scavenger Mine で請求した分にも同じく当てはまります。また、Glacier Drop の受け取り先に SecondFi 以外のウォレット（Lace・Eternl・ハードウェアウォレットなど）のアドレスを指定していた方は、そもそもこの論点の対象外です。まず自分の受け取り先アドレスがどのウォレットのものかを確認してください。

公開リプライで繰り返し出ている質問と、公式ドキュメントで確認できる答え

公開後の公式告知への返信欄には、「問題なく移行できた」「ハードウェアウォレットに無事移せた」といった報告が数多く並んでいます。同時に、手順書だけでは答えが見つけにくい質問も繰り返し出ています。公式ドキュメントで確認できる範囲で整理します。

Q. パソコンでもできますか。ブラウザ拡張機能はどうなりますか。
公式のダウンロードページは「Available on mobile and browser extension」と案内しており、拡張機能は現在も配布されています。SIPO が 8 月 20 日に Chrome ウェブストアを確認したところ、拡張機能「SecondFi (Yoroi)」のバージョンは 10.4.2.4、更新日は 2026 年 8 月 20 日でした。モバイル版の 10.4.2 と同じ系列が、移行ツールの公開告知と同じ日に更新されています。ただし、公開されている手順書はいずれもアプリを前提に書かれており（手順の 1 つ目が「SecondFi アプリを開いてホーム画面の移行カードをタップする」）、拡張機能での移行手順は公式に明文化されていません。拡張機能をお使いの方は、まず拡張機能を最新に更新したうえで移行の導線が出るかを確認し、見当たらなければ support.secondfi.io に問い合わせてください。

Q. 少額でテスト移行してから全額移せますか。
できません。移行は「元のウォレットが空になったとき」に完了と定義されており、全額を一度に移す設計です。公式 FAQ は「a migration is complete when your source wallet is emptied」としています。少額で試す運用は想定されていません。

Q.「残高不足」と出て進めません。
公式 FAQ は「too little ADA for fees（手数料に足りる ADA がない）」を既知の詰まり方として挙げています。トークンや NFT を多く持っている一方で ADA がごくわずかなウォレットで起こりやすい状態です。前述のとおり、ステーク解除で戻る 2 ADA のデポジットは元のウォレットではなく宛先ウォレットへ直接送られるため、これを手数料に充てることはできません。対処法そのものは公式に明記されていないため、影響を受けたアドレスに追加入金してよいかどうかを含め、support.secondfi.io に確認したうえで判断してください。

Q. 移行ツールを待たずに、シードフレーズを別のウォレットアプリに入れて取り出せばよいのでは。
影響対象のアドレスについては、公式はこれを推奨していません。脆弱性はアドレスと鍵のレベルにあるため、別のアプリで開き直しても同じ鍵・同じアドレスであることは変わりません。加えて、手作業の移送はネイティブトークンや NFT、ステークデポジットの取り残しが起きやすく、シードフレーズを検証していないソフトに入力するリスクも加わります。公式 FAQ は非 Cardano 資産の項でこう書いています。

Never enter a recovery phrase into a website, link, form, or application unless you have independently verified the software and understand that doing so may expose every account derived from that phrase.

Q. パソコンが壊れて Yoroi にアクセスできません。
リカバリーフレーズがあれば、ウォレットそのものは失われていません。ただし公式の案内は「まだ別のウォレットに復元しないでください」です。まず checker.secondfi.io で影響の有無を確認し、公式の手順に沿って進めてください。アプリを失っている場合、リカバリーフレーズが唯一の鍵になります。紙で保管し、どのサイトにも入力しないでください。

Q. DEX に預けているトークンや、来年までロックアップされているものはどうなりますか。
移行ツールが動かすのは、ウォレットの中にある Cardano 資産だけです。DEX やレンディングのポジション、ロックアップ中のものは対象外です。公式 FAQ は「プロトコルごとに仕組みが違うため、エコシステム各所の DEX や LP と直接やり取りして、影響を受けた利用者を支援している」と説明するにとどまっており、個別の手順やスケジュールはまだ示されていません。ここは公式の続報を待つ領域です。

Q. Cardano 以外のチェーンの資産は。
移行ツールは Cardano 資産のみです。他チェーンの資産は、それぞれのネットワークとウォレットの手順で別途移す必要があります。

Q. 移行の期限はいつですか。
現時点で、期限は公表されていません。この点は次の節で触れます。

Q. 税金の扱いは。
本記事では扱いません。自分名義のウォレット間の移動であっても、扱いは各人の状況によります。税理士等の専門家にご確認ください。

移行は「被害の請求」ではありません。アプリもウォレットも消さないでください

混同されやすいのですが、移行ツールと資産回復（リカバリー）は別の手続きです。

Migrating moves your remaining assets to safety; it does not affect your recovery request.

移行は「いま残っているものを安全な場所へ移す」だけで、盗まれた分の請求とは無関係です。請求は、9 月上旬に公開が見込まれているゼロ知識証明ベースのリカバリーポータルで行います。公式は「9 月 10 日までに開始予定」としてきましたが、これは「までに」であって確定日ではありません。

そのうえで、移行が終わっても元の SecondFi ウォレットとアプリ本体は削除しないでください。

DO NOT DELETE the SecondFi app under any circumstances. We strongly advise retaining both the app and your seed phrase, as at least one of these two will be required to claim your assets.

公式 FAQ は「アプリを削除してもセキュリティは向上しません。後で必要になるかもしれないものを消すだけです」とも書いています。古いウォレットは、そのまま残して使わない、が正解です。

そして、リカバリーについては特に注意が必要な一文が 8 月 17 日の告知にあります。

The official asset recovery tool, which will operate outside of the official app may require you to enter your seed phrase as part of the automated recovery process. If instructed to do so, enter it only within the official recovery tool after independently navigating to the verified portal through our official channels. Never provide it to a person, support representative, direct-message account, third-party website, or third-party application.

移行ツールと違い、リカバリーポータルはアプリの外で動き、自動処理の一部としてシードフレーズの入力を求める可能性がある、と公式自身が予告しています。これは詐欺にとって最高の条件です。「シードを入れる正規の手続きが存在する」状態が、この事案で初めて生まれるからです。公開されたら、誰かから送られたリンクではなく、必ず公式チャネルから自分で辿って入ってください。

期限は公表されていません——「締切」を持ち出してくる相手は、それだけで偽物です

公開リプライには「移行の期限を書くべきだ」という指摘も出ています。実際、現時点で公式は期限日を示していません。示されているのは「ウォレットが閉じる前に移してください。そのあとは恒久的にアクセスを失う可能性があります」という表現だけです。

この「期限が公表されていない」という事実は、そのまま判定基準として使えます。SecondFi は 8 月 17 日の告知で、詐欺の手口として「作られた締切のプレッシャー」を挙げています。

Fraudsters may claim that SecondFi is closing imminently, that the migration window is about to expire, or that your assets will be forfeited unless you act within hours. Any real deadline will be published well in advance through our official channels.

つまり、「今日中に移行しないと資産を失う」と急かしてくる連絡は、その時点で偽物と判断して構いません。本物の期限は、事前に公式チャネルで十分な余裕をもって告知されます。

あわせて、公式が「絶対にしないこと」として挙げている項目を再掲します。X・Telegram・Discord・WhatsApp などでSecondFi 側から先に DM を送ることはない。どのアドレスへの送金も求めない。リンク経由でのアプリ・拡張機能・遠隔操作ツールのインストールを求めない。電話やビデオ通話をかけてこない。会話を非公開チャネルに移すよう求めない。シードフレーズや秘密鍵を尋ねない。

特に、移行ツールでは宛先アドレスをあなたが入力します。SecondFi 側がアドレスを提示することはありません。

SecondFi will never provide a destination address or ask you to transfer funds to any address (including to an address controlled by SecondFi, its personnel, support agents, or a third party). In the migration tool, you must enter an address for a new wallet that you independently created and control. Anyone telling you to send assets to an address they provide is attempting to steal from you.

公開リプライには「案内を受けて ADA を送ったら、すぐに消えた」という趣旨の報告も出ています。個別の事情は確認できませんが、SecondFi 自身が事前に警告していた手口と形が一致します。公式チャネルは @secondfiapp、@secondfi_jp、support.secondfi.io の 3 つだけです。

なお、公式 FAQ の手順の末尾には動画へのリンク欄がありますが、執筆時点では未設定のままです。動画を探して検索結果から辿ると偽サイトに着地する危険があるため、動画は公式 X の告知投稿から辿ってください。

対面のガイダンスセッションが、大阪と東京で開かれます

SecondFi は、移行の開始にあわせて日本国内で対面のガイダンスセッションを開催します。日程は @secondfi_jp が公表しており、SIPO が Luma の各ページで開催情報を確認しました。

参加には Luma での事前登録が必要で、対応は先着順です。セッションは英語と日本語で行われます。7 月に東京・大阪で開催された回の案内によれば、内容は CEO による状況説明、専門スタッフとのライブ Q&A、移行ガイダンスのスライドです。

ひとつ注意点があります。

Please note the guidance slides are informative only. We will not conduct 1:1 or hands-on wallet troubleshooting.

個別の操作サポートは行われません。1 対 1 のトラブルシューティングや、実機を操作しての代行はなく、あくまで説明と質疑の場です。移行そのものはご自身で行うことが前提になります。

なお、登録リンクは必ず公式チャネル（@secondfiapp / @secondfi_jp）で案内されたものから辿ってください。会場や日程を名乗る非公式な案内は使わないでください。

あわせて、EMURGO の Phillip Pon CEO は @secondfi_jp を通じて日本語のメッセージを出しています。長く待たせたことへの謝罪と、7 月のガイダンスセッションでの協力への謝意、そして「影響を受けたウォレットユーザーのために尽力した児玉健氏とホワイトハッカーの協力により、影響を受けた資産の大部分を段階的に返還できる見込みとなった」という説明です。ここは「見込み」であって、返還の実行を伝えるものではない点に注意してください。次の節で見るとおり、返還用の資金は公開アドレスにあるものの、まだ動いていません。

返還用の 1,610 万 ADA は、いまも動いていません（SIPO 実測）

移行ツールが動き出したことと、盗まれた資産が戻ってくることは、別の話です。ここは数字で確認できます。

SecondFi は 7 月 29 日、EMURGO が設立した回収基金のアドレスを公表しました。透明性のために追跡できるようにしたもので、公式は同時に「このアドレスは進捗を追跡するためだけのものです。このアドレスに送金しないでください」と注意しています。

SIPO はこのアドレスを Koios で継続的に確認しています。2026 年 8 月 20 日 6 時 30 分（JST）時点の残高は 16,102,865.56 ADA。8 月 14 日に全取引を走査した時点で 18 件すべてが入金・送出ゼロであることを確認しており、それ以降 8 月 20 日朝までの 261 回の観測で残高が減った記録は 1 件もありません。つまり、返還の原資は公開の場に揃っているものの、まだ 1 ADA も出ていません。

もうひとつ、6 月のインシデントで抜かれた資産が集約された先のアドレスは、129,429,998.98 ADA のまま動いていません。6 月 25 日の集約完了から数えて約 56 日、変化なしです。

移行ツールの公開は、あくまで「いま自分の手元に残っているものを安全に移せるようになった」という前進です。被害分の返還は、まだ始まっていません。

ここから見ておきたいこと

次に状況が動いたと判断できる材料は、いくつかはっきりしています。

まず、回収基金のアドレスから最初の送出が記録されるかです。すべてが入金で送出ゼロという現在、最初の 1 件の送出は、返還が実際に動き出したことを外から検証できる最初の signal になります。

次に、リカバリーポータルが 9 月 10 日までに公開されるか、そしてそのときシードフレーズ入力を伴う手順がどのような形で提示されるかです。ここは詐欺の集中する場所になります。手順が出たら、入り口の正しさをまず確かめてください。

三つめは、NIGHT の解凍分と DEX のロックアップ分について、公式の手順が出るかです。移行ツールでは扱えない領域が明確に残っており、該当する保有者は少なくありません。

そして、緊急退避された 1 億 2,943 万 ADA の保管先とアドレスが公表されるかどうか。公開されている回収基金と違い、こちらは外から検証できない状態が続いています。

移行そのものについては、急ぐ理由も、待つ理由もありません。まず checker.secondfi.io で自分の状態を確認し、宛先ウォレットを自分で用意し、アドレスを全桁確認し、署名し、そのあとステークプールと DRep を委任し直す。この一続きを落ち着いて終えることが、いまいちばん確実な一手です。

本件は現在も動いています。公式から新しい情報が出た場合、また SIPO 側の確認で分かったことがあった場合は、本記事に追記するか、続報としてあらためてお伝えします。

一次ソース・参照

関連記事

Deep Dive
Hydra と Leios は競合しません——Cardano のスケーリングを二層で読む
Deep Dive
🔬 Deep Dive｜Cardano 憲法を直す入口が開いた — CAP ポータルの使い方と、参加すると何が変わるか
Deep Dive
🔬 Deep Dive｜SundaeSwap v4発表──8つの新設計でDEXは「モジュール型の流動性基盤」へ