LIVE ADA-- MCAP-- TVL-- STAKE-- EPOCH-- Cardano & Midnight 総合情報ポータル
SIPO
𝕏 🔍
速報 Intersect Weekly Update #125を公開、Dijkstra進捗など報告 1日前 速報一覧 →
HOME › マニュアル › Yoroi / SecondFi 利用者のための移行マニュアル——影響の確認、新しいウォレットへの移行、委任のやり直し、被害の届け出まで
マニュアル

Yoroi / SecondFi 利用者のための移行マニュアル——影響の確認、新しいウォレットへの移行、委任のやり直し、被害の届け出まで

2026-08-23SIPO

SecondFi（旧 Yoroi）のウォレットをお持ちの方に向けて、いま何をどの順番ですればよいかを 1 本にまとめました。6 月 23 日の公表から 2 か月、公式のウォレットチェッカー、Lace に組み込まれた検査機能、そして 8 月 20 日に動き出した公式の移行ツールと、影響の判断と残った資産の移行に必要な道具は揃いました。一方、抜かれた資産の回復は、9 月に見込まれるリカバリーポータルの公開を待つ段階です。ただ、これらの手順は公式の FAQ や告知に分散していて、自分のケースに当てはめるには読み解きが要ります。本記事は、SIPO が 6 月以降 20 本あまりの記事で追ってきた内容を、読者の状況から逆引きできる形に組み直したものです。まず自分が影響を受けたかを確かめ、結果に応じて 3 つのケースのどれかに進み、移したあとに委任をやり直す。この順番で、落ち着いて進めてください。

この記事の手順を A4 1 枚にまとめた印刷用チェックリスト（PDF）を用意しました → チェックリストを開く（PDF・A4 1 枚・2026 年 8 月 23 日版）。公式の手順が変わった時点で差し替えます。

はじめに押さえておきたい 3 つの前提

前提 1：ウォレットはアプリの中にはありません

資産は Cardano のブロックチェーン上にあり、それを動かす鍵はあなたのリカバリーフレーズ（シード）です。SecondFi というアプリが終了しても、リカバリーフレーズを持っている限り、同じウォレットは Daedalus や Lace など他のアプリから開けます。「アプリが消えると資産も消える」わけではありません。逆に言えば、リカバリーフレーズをなくすと、どのアプリを使っても資産には触れなくなります。

前提 2：影響の有無は「アプリを開いたか」ではなく「アドレスと署名の履歴」で決まります

公式の Incident FAQ は、影響を受けるのは特定のアドレスの集合であって、Yoroi で作ったウォレットすべてではないと明記しています。

No. This incident affects a specific set of wallet addresses, not all Yoroi wallets. The vulnerability exists at the address and private key level for affected wallets.

根本原因は、取引ごとの署名を生成する処理の欠陥でした。公開されたブロックチェーン上の情報から、秘密鍵の材料が導き出せてしまう、というものです。

The root cause was a highly subtle flaw in how the wallet software generated per-transaction signatures. In simplified terms, a value that should have been derived from secret information could, under certain conditions, be computed from public transaction data. This could enable affected private key material to be derived from information visible on the public blockchain.

つまり鍵の材料が漏れる経路は、チェーン上に公開された署名です。欠陥のあるソフトウェアで署名したことがなければ、導出の材料は存在しません。だからハードウェアウォレットの利用者は影響を受けていません。署名がソフトウェアではなくデバイスの中で行われるからです。

Hardware wallet users were not compromised by this incident, whether accessed through SecondFi or Yoroi.

なお、欠陥があったバージョンの範囲として「v10.0.3 から v10.0.6」「6 月 8 日ごろの配信」という情報が複数の技術解説で伝えられていますが、SecondFi の公式ドキュメントにはバージョン範囲の記載がありません。判断はバージョンの記憶ではなく、次の節の確認手段で行ってください。

前提 3：本物の窓口は少なく、偽物は多い

SecondFi の公式チャネルは、X の @secondfiapp と @secondfi_jp、サポートポータルの support.secondfi.io です。公式サイト secondfi.io の配下にあるヘルプセンター（kb.secondfi.io）とウォレットチェッカー（checker.secondfi.io）も公式です。それ以外から届く案内は、まず疑ってください。

移行について、公式は「別のアプリも、専用サイトも、新しくインストールするものも存在しない」と明言しています。

There is no separate migration application, no standalone migration website, and no new application to install. Update the existing SecondFi application through the official app store on your device.

期限についても、現時点で公式は日付を公表していません。示されているのは「ウォレットが閉じる前に移してください」という表現だけです。したがって、「今日中に移さないと資産を失う」と急かしてくる連絡は、その時点で偽物と判断できます。

Fraudsters may claim that SecondFi is closing imminently, that the migration window is about to expire, or that your assets will be forfeited unless you act within hours. Any real deadline will be published well in advance through our official channels.

SecondFi が 8 月 17 日に公開した詐欺手口の一覧は 12 分類あります。偽の移行ツール・偽アプリ、移行先アドレスのすり替え、「移行を手伝います」という申し出、偽の期限による緊急性の演出、偽のリカバリーポータル、偽の請求資格確認サイト、前払い料金の要求、偽の「復旧専門家」、悪意あるトランザクションへの署名、偽のサポートアカウント、公的機関へのなりすまし、AI を使ったなりすまし。どれも「相手が先に連絡してくる」「アドレスや料金を相手が指定する」「急がせる」のいずれかを含みます。

ひとつだけ、先に知っておいていただきたい例外があります。9 月に公開が見込まれている資産回復のポータルは、公式アプリの外で動き、手続きの一部としてリカバリーフレーズの入力を求める可能性がある、と公式が予告しています。

The official asset recovery tool, which will operate outside of the official app may require you to enter your seed phrase as part of the automated recovery process. If instructed to do so, enter it only within the official recovery tool after independently navigating to the verified portal through our official channels. Never provide it to a person, support representative, direct-message account, third-party website, or third-party application.

「リカバリーフレーズは絶対にどこにも入れない」という原則に、正規の例外が生まれる可能性が予告されている、ということです。現時点でその入力先は公開されていません。公開されたとしても、入口は誰かから送られたリンクではなく、公式チャネルから自分で辿ってください。

まず確認する——自分のウォレットは影響を受けたのか

影響の確認から 3 つのケースへ振り分ける判定フロー
図 1：確認は 3 つ。結果でケース A／B／C に振り分けます。

確認の手段は 3 つあり、性質が違います。併用してください。

確認 1：公式のウォレットチェッカー（checker.secondfi.io）

公開アドレスを入力するだけで、影響対象のリストに載っているかを照会できます。リカバリーフレーズも署名も要求しません。SecondFi を一度も開かなくても確認できるのが利点です。入力できる形式は、ペイメントアドレス（addr1q…）、ステークキー（stake1u…）、エンタープライズアドレス（addr1v…）の 3 種類と、ページに明記されています。

ただし、このチェッカーの結果は暫定です。ページ自身がこう書いています。

The addresses shown are based on preliminary, non-final data from SecondFi’s review of the security incident and may not represent a complete or final list. If your address appears here, it means only that it currently appears in preliminary incident-related data. If it does not appear, you may still have been impacted.

「該当なし」は「影響を受けていないことの確定」ではありません。これが、次の確認 2 を併用する理由です。

確認 2：Lace に組み込まれたセキュリティチェック

IOG 系のウォレット Lace は、ブラウザ拡張機能のバージョン 2.1（7 月 9 日公開）で、既知のセキュリティインシデントの影響を受けた可能性があるウォレットを識別する機能を入れました。

Lace can now identify wallets that may have been affected by a known security incident. Run the check on an existing wallet or after restoring one. If a potential match is found, Lace will link you to the relevant incident page for more information

SecondFi のチェッカーが「リストに載っているか」を照会するのに対し、Lace のチェックは、そのアカウントがチェーン上に出した署名そのものを検査します。リストの網羅性に依存しない、独立した二つ目の確認です。異常が見つからなかった場合、日本語表示では次のように出ます。

ご注意ください: オンチェーンで一度も署名していない鍵は確認する対象がないため、本結果は他の問題を否定するものではありません。

この但し書きは誤読しやすいので、はっきりさせておきます。この脆弱性は、チェーン上の署名を通じて鍵の材料が漏れるものでした。署名が一つもなければ、この経路では露出していません。Lace が否定していないのは「他の問題」、たとえば dApp の接続許可やメッセージ署名といった、本件とは別の論点です。

注意点が二つあります。ひとつ、Lace のチェックはアカウント単位です。普段使っている Lace のウォレットを検査しても、別に作った Yoroi 由来のウォレットの状態はわかりません。もうひとつ、判定のためだけに、古いリカバリーフレーズを Lace に復元しないでください。影響の有無がわからない段階でフレーズを入力することは、公式が一貫して避けるよう求めてきたことです。Lace のチェックを使うのは、すでに Lace に入っているアカウントか、後述するケース A の自前移行で Lace に復元した直後（何にも署名する前）に限ります。リカバリーフレーズをどこにも入れたくない方は、確認 1 のチェッカーだけで判断し、移行は公式ツールで行ってください。

確認 3：自分の操作を「署名」という言葉で点検する

感覚的な「触っていない」と、技術的な「署名していない」はずれることがあります。受け取っただけ、残高を見ただけなら署名は発生していません。一方、ステークプールへの委任、ステーキング報酬の引き出し、送金、スワップ、NFT の売買は、すべて署名を伴います。とくに見落とされやすいのが委任です。ステーキング報酬が貯まっているウォレットは、どこかの時点で委任の署名をしています。

確認の結果を、3 つのケースに振り分ける

  • ケース A｜影響なし——チェッカー非該当（すでに Lace に入っているアカウントなら、そのチェックでも異常なし）。資産は残っている。
  • ケース B｜影響あり・資産が残っている——チェッカーで該当、または Lace のチェックで検出。資産はまだウォレットにある。
  • ケース C｜資産が抜かれた——6 月の流出でウォレットの残高が消えている。

判定できない場合は、ケース B として扱ってください。一部が抜かれ、一部が残っている場合は、B と C の両方の手順を行います。ハードウェアウォレットで使っていた方は影響対象外ですが、SecondFi アプリ内では移行できないため、後述のとおり別のウォレットアプリで同じデバイスを開き直す作業が必要です。

移行先のウォレットは、新しいリカバリーフレーズで作ります

本記事の立場を先に書きます。ケース A であっても、リカバリーフレーズは新しくしてください。「チェッカーで問題なしと出たのだから、同じシードを使い続けてよいのでは」と考えるのは自然ですが、理由は二つあります。一つは、チェッカーの結果が暫定であること。もう一つは、コストの非対称です。新しいウォレットへ移す費用は 1 ADA に満たないネットワーク手数料ですが、判断を誤ったときの損失は全額です。この非対称を踏まえると、新しい鍵へ移しておくのは過剰な用心ではありません。Lace 自身も、移行ガイドで同じ考え方を示しています。

可能であれば、古いリカバリーフレーズを復元するのではなく、新しい鍵を作成して移行しましょう。追加費用はかからず、鍵の漏えいに関するリスクを一つ減らすことができます。

どのウォレットに移すか

SecondFi の公式 FAQ は、移行先として「自分で管理する、別のプロバイダーで新しく作った Cardano ウォレット」を求めるだけで、特定のウォレットを推奨していません。その前提のうえで、SIPO が自分たちの運用から勧めるのは次の組み合わせです。

Daedalus（ダイダロス）——IOG 系のフルノードウォレットです。自分のパソコンでチェーン全体を検証するため、第三者のサーバーに依存しません。資産の本体を長く置く場所として、SIPO はこれを使っています。ただし要件は重く、公式の推奨環境はメモリ 24 GB（32 GB 推奨）、空き容量 250〜300 GB です。初回の同期には時間がかかります（Mithril による高速同期は選べます）。最新版は 11.2.0（8 月 7 日公開）で、開発は IOG の支援のもと Se7en Labs が主導しています。復元画面には「Yoroi ウォレット」のタブがあり、Yoroi 由来の 15 語のリカバリーフレーズをそのまま開けます。パソコンに余裕があり、資産の本体を長く持つ方に向いています。

Lace（レース）——同じく IOG 系の軽量ウォレットです。ブラウザ拡張機能（Chrome・Brave・Firefox）と、iOS・Android のモバイル版があります。Ledger・Trezor のハードウェアウォレットに対応し、前の節で触れたセキュリティチェックが組み込まれています。12・15・24 語のリカバリーフレーズを復元できます。すぐに始めたい方、スマートフォン中心の方、日常の操作用にはこちらが向いています。

それ以外の選択肢——Eternl など他の自己管理型ウォレットでも、本質は同じです。要点は「自分でリカバリーフレーズを管理する」「そのフレーズが新しいものである」の二つだけです。そして、まとまった金額を持つ方には、どのアプリを使う場合でもハードウェアウォレット（Ledger・Trezor）との接続を勧めます。秘密鍵がデバイスの外に出ないため、パソコンやスマートフォンが侵害されていても資産が守られます。SecondFi の公式も「可能であればハードウェアウォレットを」と案内しています。

新しいウォレットを作るときの共通ルール

  • アプリは公式サイト（daedaluswallet.io／lace.io）から入れる。検索広告やメッセージのリンクからは入れない。
  • 最初の画面で「復元（Import）」ではなく「新規作成」を選ぶ。新しい 24 語のリカバリーフレーズが生成される。
  • リカバリーフレーズは紙に書く。パソコンやスマートフォンに入力しない、スクリーンショットを撮らない、メモアプリやクラウドに保存しない。
  • 新しい受取アドレスをコピーしたら、先頭と末尾だけでなく全体を照合する。クリップボードを書き換えるマルウェアは実在します。
  • 移行先に取引所の入金アドレスを使わない。ネイティブトークンや NFT が失われます。

ケース A｜影響なし——新しいウォレットへ移す 2 つの経路

ケース A の方には、移し方が二つあります。どちらも正しい方法です。

経路 1：公式の移行ツールを使う

公式は、被害の有無にかかわらず、残高がある全員に移行ツールを使うよう案内しています。

The wallet migration tool is for all users who still have a remaining balance. Anyone holding assets in SecondFi needs to migrate whether or not their wallet was affected by the incident.

ツールはステーキング報酬の引き出し、ステークキーの登録解除、全トークン・全 NFT を含めた送金を自動で組み立てます。手作業で起きがちな取りこぼしがありません。手順は次のケース B の節にまとめました。ケース A の方も同じ手順です。

経路 2：自分で移す——古いリカバリーフレーズを Daedalus か Lace に復元して、新しいウォレットへ送る

SecondFi アプリを消してしまった方、ブラウザ拡張機能で使っていて移行の導線が出ない方、自分でトランザクションの中身を確認できる方には、この経路があります。条件は二つ。確認 1 のチェッカーで非該当であること、そして復元した直後に Lace のチェックを行い、異常がないことを確かめてから署名することです。チェッカーで該当していれば、この経路は使わず、ケース B に進んでください。

  1. 前の節の手順で、新しいリカバリーフレーズのウォレットを作り、受取アドレスを控える。
  2. 古いリカバリーフレーズを Lace に復元する（「Restore wallet」から入力）。SecondFi を入れ直す必要はありません。問題があったのは SecondFi の署名処理であって、鍵そのものの持ち方ではないからです。Lace から署名すれば、署名は Lace の実装で正しく生成されます。Daedalus にも復元画面に「Yoroi ウォレット」タブがあり 15 語を開けますが、セキュリティチェックは Lace にしかないため、自前移行では Lace での復元をお勧めします。
  3. 何にも署名する前に、復元したアカウントで Lace のセキュリティチェックを実行する。異常が検出されたら、そこで止めてください。何も署名していなければ、この脆弱性による露出は増えていません。そのウォレットはケース B として、公式の移行ツールで移します。
  4. 異常がなければ、ステークプールへの委任を解除して、デポジットの 2 ADA を回収する。Lace ではステーキングの画面から「De-register」を選びます。未受取の報酬はこのトランザクションに自動で含まれます。

Lace automatically includes any unclaimed staking rewards in the de-registration transaction. You do not need to withdraw rewards manually first.

Daedalus に復元した場合は、ウォレット設定の「委任設定を解除する」から同じことを行います。画面にはこう書かれています。

このウォレットの使用を停止し、すべての資金を移す場合には、まず委任設定を解除し、デポジットの2ADAを回収してください。ウォレットの委任設定を解除後、3Cardanoエポック間は委任報酬が継続します。

  1. 残高の全額（ADA・ネイティブトークン・NFT）を、新しいウォレットの受取アドレスへ送る。署名する前に、送金先が自分の新しいアドレスとネットワーク手数料だけであることを確認します。Lace のガイドはこう念を押しています。

トランザクションにチェンジ出力(change output)や想定外の送金先が含まれている場合は、署名を拒否してください。

  1. 古いウォレットは削除せず、使わずに残す。新しいウォレットに古いリカバリーフレーズを使い回さない。

このあと、新しいウォレットでステークプールと DRep に委任し直します（後述）。

6 月の「別のウォレットに復元しないでください」から、何が変わったのか

ここは SIPO として正直に書いておきます。6 月下旬、SIPO は公式の案内に沿って「リカバリーフレーズを別の Cardano ウォレットに復元しない」と繰り返し伝えました。当時の公式の表現はこうです。

Please DO NOT RESTORE your recovery phrase into another Cardano wallet, this does not mitigate the security risk. The security risk occurs when an affected user signs a transaction.

この案内が出た時点では、自分が影響を受けたかを確かめる手段がなく、公式の手順もありませんでした。誰が影響対象かわからない状況で、全員が「動かさない」を守るのが最も安全だった、ということです。その後、7 月 2 日に公式チェッカーが公開され、7 月 9 日に Lace の検査機能が入り、8 月 20 日に公式の移行ツールが動き出しました。いまは「自分が影響対象か」を確かめられます。

その結果、案内は二つに分かれます。影響対象のアドレスについては、いまも「自分で別のウォレットに復元しない」が公式の立場です（次の節）。一方、チェッカーで非該当のウォレットについては、Lace に復元しただけでは署名は発生せず、復元直後のチェックで異常がなければ、同じ鍵がすでに漏れている根拠もありません。その場合は、上の経路 2 のように Lace から署名して新しい鍵へ移すことが、合理的な選択肢になります。変わったのは事実ではなく、確認できることの範囲です。

ケース B｜影響あり・資産が残っている——公式の移行ツールだけを使う

公式移行ツールの 4 ステップと注意点
図 2：公式ツールの手順は 4 ステップ。署名するまで何も確定しません。

チェッカーで該当した、あるいは Lace のチェックで検出された方は、自分でリカバリーフレーズを別のウォレットに復元して送る方法を取らないでください。公式の立場は一貫しています。

IMPORTANT: DO NOT USE or remove affected wallets at this time. They may be relevant to any formal process relating to the incident.

影響対象のアドレスでは、同じ鍵を別のアプリで開き直しても鍵は同じままで、追加の署名はむしろリスクを増やします。また、6 月の時点で公式は、公式の案内の外で独自に動くことが請求の手続きを複雑にしうると警告しました。残っている資産を安全に移す公式の経路が、移行ツールです。

準備するもの

前の節の手順で作った、新しいリカバリーフレーズのウォレットの受取アドレスだけです。公式は「可能であればハードウェアウォレットを」と案内しています。そして、SecondFi アプリを公式ストア（App Store／Google Play）で最新版に更新してください。開発者名は EMURGO Co., Ltd.、Android のパッケージ名は com.emurgo です。アプリを消してしまっていた方へ。公式の手順書は「すでにインストール済みのアプリを更新する」前提で書かれており、入れ直して復元する手順は示されていません。自己判断で復元せず、support.secondfi.io で個別に確認してください。公式は、アプリを消した場合はリカバリーフレーズが唯一の鍵になると案内しています。

手順は 4 ステップ

Open the SecondFi app and tap the migration card on your home screen.
Enter the destination address of the Cardano wallet you want to migrate to. You can paste it or scan a QR code. Check it carefully, tick the confirmation checkbox, and continue.
Review each transaction. If your wallet is staked, the first transaction unstakes it; the send transaction then moves your assets. Each screen shows the amounts, the from and to addresses, and the network fee.
Sign to submit the transactions. Signing is confirmed with your biometric or password.

ステーク中のウォレットは「ステーク解除」と「送金」で署名が 2 回になります。資産の種類が多い大きなウォレットは送金が分割され、「Transaction 1 of N」と番号が出ます。異常ではありません。ステーク解除で戻る 2 ADA のデポジットは、元のウォレットには戻らず移行先へ直接送られます。

The unstake withdraws your rewards and de-registers your stake key, and your recovered stake deposit is sent directly to your destination wallet, never back to the source wallet.

最初の署名の前にアプリを閉じた場合は、何も確定しておらず、中途半端な状態は残りません。最初からやり直すだけです。

Nothing is committed until you sign. If you close the app before the signing step, there is no partial state. Simply restart the migration from the beginning when you return.

一方、一度でも署名したあとは取り消せません。ステーク解除には署名したが送金はまだ、という途中の状態もありえます。その場合は、アプリの Recent activity とブロックエクスプローラーで各トランザクションの状態を確認し、pending（確定待ち）の間は別のトランザクションを送らないでください。失敗と表示されたときは、アプリ内の再試行の案内に従い、解決しなければアプリからサポートに連絡します。

宛先アドレスは全桁を照合してください。アプリはアドレスの形式と、自分自身のアドレスや影響対象のアドレスでないことは検査しますが、そのアドレスがあなたのものか、取引所のものかは判定しません。署名後に「まだ進行中」と表示されるのは確定待ちで、通常は数分です。確定が遅いというだけの理由で、移行をもう一度実行しないでください。完了すると「Cardano Asset Migration Completed」と表示されます。全額を一度に移す設計で、少額でのテスト移行はできません。

「残高不足」で進めないとき、移行カードが出ないとき

トークンや NFT を多く持つ一方で ADA がごくわずかなウォレットでは、手数料に足りる ADA がなく進めないことがあります。この場合の公式の指示は、8 月 20 日に明確になりました。入金しないでください。

Migrating your Cardano wallet does not require topping it up or funding it with ADA. There is no scenario where this process needs you to add funds first.

If your wallet balance is not sufficient for network fees, do not add funds to it. Simply wait for the next version of the wallet migration which will support these wallets.

影響を受けたアドレスに ADA を送れば、それもまた抜かれうる資産になります。こうしたウォレットに対応する次の版を待つのが、公式の案内です。

ブラウザ拡張機能をお使いの方へ。公開されている手順書はすべてモバイルアプリを前提に書かれていて、拡張機能での移行手順は公式に明文化されていません。ただし（2026 年 8 月 24 日追記）、SIPO が公式の拡張機能パッケージ（バージョン 10.4.2.5・Chrome ウェブストアの正規配信元から取得）の中身を確認したところ、移行の機能そのものは拡張機能にも実装されていました。移行する Yoroi ウォレットの選択、移行先アドレスの入力（ハードウェアウォレット推奨の文言つき）、移行に関する利用規約への同意、完了表示「Cardano Asset Migration Completed」まで、モバイル版と同じ流れです。

一方で、SIPO が以前から拡張機能を入れていた環境で実際に確かめたところ（8 月 24 日）、インシデント該当状況の表示は出るものの、移行の導線はどこにも現れませんでした。原因はバージョン——正確には、配信チャネルの差でした。この環境の拡張機能は Microsoft Edge のアドオンストアから入れたもので、バージョンは 10.3.0。そして Edge のアドオンストアで配信されている SecondFi (Yoroi) は、8 月 24 日時点でも 10.3.0（7 月 27 日更新）のままです。移行機能が入っているのは 10.4.2 系で、それを配信しているのは Chrome ウェブストア（10.4.2.5・8 月 20 日更新）だけでした。つまり、Edge のストアから拡張機能を入れていた方には、移行ツールはまだ配信されていません。公式 FAQ も「唯一の公式拡張機能は Chrome ウェブストアにある」としています。「最新版にしても導線が出ない」という利用者報告（8 月 21 日）も、この配信チャネルの差で説明がつく可能性があります。

拡張機能をお使いの方は、まず設定の「SecondFi について」でバージョンを確認してください。10.4.2 系より古ければ、その拡張機能に移行ツールは入っていません。進め方は二つ——スマートフォンに公式アプリ（開発者名 EMURGO Co., Ltd.）を入れて移行する方法と、Chrome または Brave に Chrome ウェブストアから公式拡張機能（発行元 secondfi.io・認証マーク付き）を入れて進める方法です。あわせて、ホーム画面のお知らせから案内される「migration guide」のリンクは、開くと公式ヘルプセンターの「ページが見つかりません」に着地することも確認しています（削除された記事を指したままになっています）。それでも進めない場合は、support.secondfi.io に問い合わせてください。

あわせて注意してください。この「公式の説明がない」空白を狙った動きを確認しました。拡張機能の利用者が公式に質問したポストに対し、「SecondFi の CTO」「開発チーム」を名乗るアカウントが「拡張機能では手動のエクスポート操作が必要です。DM をくだされば案内します」と持ちかけています。SecondFi が DM で個別の案内をすることはありません。そして上で確認したとおり、拡張機能の移行フローは自動であり、手動の特別な操作は必要ありません。この種の申し出は内容自体が事実と食い違っています。応じないでください。

移行しても、請求には影響しません。アプリもウォレットも消さないでください

Migrating moves your remaining assets to safety; it does not affect your recovery request.

移行は「いま残っているものを安全な場所へ移す」だけで、盗まれた分の請求とは別の手続きです。そして、移行が終わっても元のウォレットと SecondFi アプリは削除しないでください。

DO NOT DELETE the SecondFi app under any circumstances. We strongly advise retaining both the app and your seed phrase, as at least one of these two will be required to claim your assets.

公式 FAQ は、古いウォレットを「削除せず、使い回さず、そのまま残す」よう求めています。

一点、Midnight の NIGHT を Glacier Drop で請求し、その受取先に影響対象のアドレスを指定していた方は、移行を進める前に SecondFi（support.secondfi.io）と Midnight 側の公式窓口の両方に確認することをお勧めします。解凍される NIGHT はそのアドレスに届き続け、償還にはそのアドレスを含むウォレットでの署名が要るためです（後述）。この組み合わせについて、どちらの FAQ にも記載がありません。

ケース C｜資産が抜かれた——請求を出して、返還フェーズを待つ

資産が抜かれた方のタイムライン：確定していることと見込み
図 3：8 月 23 日時点で確定していることと、公式が予定として示していること。

いますぐやること

1. 請求（claim）を出していなければ、今すぐ出す。公式の経路は二つあります。SecondFi アプリを開ける方は、アプリ内の案内に従って「Submit claim」からメールアドレスを登録し、6 桁の確認コードで認証して送信します。アプリを開けない方は、support.secondfi.io のサポートポータルからチケットを出します（手順は後述のチェックリストにまとめました）。すでに出している方は、重ねて出す必要はありません。

If you have already submitted a recovery request, no further action is needed.

請求を出すことは、返還の対象になることを保証するものではありません。対象かどうかは公式の回復手続きの中で判断される、と公式は明記しています。また、事前の請求がポータルの利用や返還の前提条件であるとも、公式は書いていません。それでも今すぐ出しておく理由は、公式側にあなたの記録と連絡経路を残しておくためです。

2. 記録を残す。影響を受けたアドレス（addr1 と stake1）、流出したトランザクションの ID、当時の残高、チェッカーの結果画面を保存しておいてください。

3. アプリとリカバリーフレーズを捨てない。回復にはアプリかリカバリーフレーズの少なくとも一方が必要です。

If you deleted the app, do not lose your seed phrase. It is now the only way to recover your assets. Recovery needs either the app or the seed phrase, and without one of them, recovery will not be possible.

4. 誰にも支払わず、どのアドレスにも送金しない。「手数料を先に払えば回収できる」は詐欺手口の一つとして公式が名指ししています。SecondFi が公表している回収基金のアドレスも、進捗を追跡するためのもので、送金先ではありません。

This address is strictly for tracking transparent recovery progress. Do not send funds to this address.

返還フェーズ——公式の予定と、いま確認できること

盗まれた資産の請求は、ゼロ知識証明でウォレットの所有を証明するリカバリーポータルで行う予定です。公式 FAQ は「9 月 10 日までに」、日本語の公式告知は「9 月中」としています。

The recovery portal lets affected users securely prove ownership of their SecondFi wallet and claim assets impacted by the June 2026 incident via zero-knowledge proofs. Stay tuned for step-by-step instructions. It is currently scheduled to launch by 10 September 2026.

これは予定であって確定日ではありません。公開されたら、手順が公式チャネルで示されるはずです。前提 3 で触れたとおり、このポータルはアプリの外で動き、リカバリーフレーズの入力を伴う可能性があります。入口は必ず公式チャネルから自分で辿ってください。

原資のほうは、外から確認できます。SecondFi が 7 月 29 日に公表した回収基金のアドレスには、8 月 23 日 13 時（日本時間）時点で 16,102,865.56 ADA があり、SIPO が 8 月 14 日に全取引を走査して以降、残高は変わっていません。公開されているのはこの残高だけで、誰に・いくら・いつ返還されるかを保証するものではありません。そして、返還そのものはまだ始まっていません。EMURGO の CEO は「影響を受けた資産の大部分を段階的に返還できる見込み」と説明していますが、これは見込みであって、個別の返還額や時期を約束するものではありません。

一部が抜かれ、一部が残っている方は、残っている分についてケース B の移行ツールを使い、抜かれた分についてこの節の請求を出してください。移行は請求に影響しません。

移行が終わったら——ステークプールと DRep を「両方」委任し直す

移行で委任が両方外れ、新しいウォレットから委任し直す流れ
図 4：移行で外れた委任は、新しいウォレットから付け直すまで戻りません。

ケース A・B に共通して、移したあとに必ずやることがあります。公式ツールで移しても、自分で移しても、ステーク解除によってステークプールと DRep の委任は両方外れます。委任はステークキー単位なので、新しいウォレットは未委任の状態から始まります。

As part of the migration, your ADA was unstaked, so its stake pool and DRep delegations are no longer active. To continue earning staking rewards and participating in governance, you will need to do two things from your new destination wallet: re-stake your ADA by delegating to a stake pool, and delegate to a DRep.

委任はすぐには効きません。cardano.org は、既存の委任を別のプールへ変える場合について、変更が反映されるのは「次の次のエポック」からだと説明しています。

Re-delegated stake will remain in the current pool until the epoch after next (from the point of re-delegation), after which your delegation preferences will be updated on the chain and your stake moved to the new stake pool.

これは再委任についての説明で、移行後の新しいウォレットは委任そのものが無い状態から始まるため、古いプールからの報酬が続く部分は当てはまりません。委任が反映されるまでのエポック境界の仕組みは同じなので、SIPO の目安として、新しいウォレットで委任してから最初の報酬が届くまで 15〜20 日（1 エポック = 5 日）と見ておいてください。公式に日数の記載はありません。委任していない間は報酬がありませんから、「移して終わり」にせず、移行と再委任を一続きの作業として終わらせてください。

操作する場所

Daedalus では「委任センター」からステークプールを選びます。Lace では「Staking Center」からプールを選び、DRep への委任はウォレット内の Governance の画面（拡張機能 2.1.1 以降）か、gov.tools から行えます。Daedalus で DRep を指定する場合は、DRep ID の形式が CIP-105 形式（drep1 で始まる短いもの）になることがあります。

委任先の例：SIPO

DRep について、公式 FAQ は「別の DRep を選ぶ必要がある」としたうえで、投票実績と委任履歴のある DRep を勧めています。

You will need to choose a different DRep. We recommend transitioning to a DRep with a proven voting record and strong delegation history. There are many in the Cardano ecosystem who are exceptionally qualified.

一つの例として、SIPO が運営しているステークプールと DRep を挙げます。投票実績のある DRep、運用実績のあるプールであれば、どこを選んでいただいてもかまいません。投票履歴は公開されていますので、実際にどう投票してきたかを見て判断してください。

  • ステークプール SIPO（SITION POOL）：pool1w6l6rvhxtym5psec3mvgrjlg28d6hrv8g9jjexadzmxfgndfg2f
  • ステークプール SIPO2（SITION POOL2）：pool18rhzlrv83a7ygj7cp5uv8dx07qkn5drhe8nh6f3qvhv66xcyj2m
  • ステークプール SIPO3（SITION POOL3）：pool1p5ja48uqc7pjnuqvwu7cgmspvx938qpnf4zqm0x2k0ngkh4lkjx
  • 3 プールとも、手数料率 3.9%・固定費 340 ADA・プレッジ 50,000 ADA
  • DRep SIPO：drep1yffld2866p00cyg3ejjdewtvazgah7jjgk0s9m7m5ytmmdq33v3zh（Daedalus 用の CIP-105 形式：drep120m237kstm7pzywv5nwtjm8gj8dl55j9nupwlkapz77mgv7zu7l）。2024 年 9 月の初投票から 2026 年 8 月 7 日までに 157 件を投票（賛成 134・反対 15・棄権 8）

ウォレットの検索欄にティッカー「SIPO」または DRep 名「SIPO」を入れると見つかります。ID が一致することを確認してから委任してください。

全ケースに共通する注意点

Midnight の NIGHT：受取先は請求時に固定され、変更できません

ウォレットの中にすでに入っている NIGHT は、移行で一緒に移ります。問題はこれから解凍される分です。Midnight の公式 FAQ は、償還された NIGHT は請求時に指定した受取先アドレスにのみ送られ、あとから変更できないと定めています。

Redeemed NIGHT tokens are transferred exclusively to the Destination Address specified in the associated claim(s). Once set during a claim, this address cannot be changed.

請求権そのものは失われません。解凍は 25% ずつ 4 回、90 日間隔で進み、都度償還しても、全部が解凍されてから一括で償還してもかまいません。一括にまとめれば、古いアドレスに触る回数を減らせます。償還には少額の ADA の手数料が要りますが、受取先の古いウォレットに ADA が残っていなくても、手数料を払うためだけに別のウォレットを接続できます。Lace のガイドはこう書いています。

受取先の古いウォレットにADAが残っていない場合は、手数料を支払うためだけに別のウォレットを接続できます。

したがって、古いウォレットへ ADA を送り戻す必要はありません。受取先に SecondFi 以外のウォレットのアドレスを指定していた方は、この論点の対象外です。受取先が影響対象のアドレスだった方は、ケース B の節で触れたとおり、先に両方の公式窓口へ確認してください。償還の入口は Midnight 公式の redeem.midnight.gd だけです。

DEX・レンディング・ロックアップ中の資産

移行ツールが動かすのは、ウォレットの中にある Cardano 資産だけです。DEX に預けているポジションやロックアップ中のものは対象外で、公式は各プロトコルと直接やり取りしていると説明するにとどまっています。ここは公式の続報を待つ領域です。Cardano 以外のチェーンの資産も、それぞれのネットワークの手順で別途移す必要があります。

ハードウェアウォレットで使っていた方

影響対象外ですが、SecondFi アプリ内では移行できません。資産はそのままで、同じデバイスを別のウォレットアプリ（Daedalus・Lace など）の公式のハードウェアウォレット連携から開き直してください。

If your SecondFi wallet is connected to a hardware wallet, you will not use the in-app migration process. Instead, connect the hardware device to another compatible Cardano wallet provider and follow the provider’s official instructions.

税金

本記事では扱いません。自分名義のウォレット間の移動であっても、扱いは各人の状況によります。税理士等の専門家にご確認ください。

SecondFi サポートへの問い合わせチェックリスト

公式のサポート窓口は support.secondfi.io の一つだけです。公式の手順書（How to Submit a Support Ticket）に沿って整理します。

出し方

  1. ブラウザで support.secondfi.io を自分で入力して開く（メッセージのリンクからは開かない）。
  2. メールアドレスを入力して「Send verification code」を押し、届いた 6 桁のコードで認証する。パスワードはありません。
  3. 「+ Open New Ticket」から新規チケットを開く。
  4. Subject（件名）に用件を短く書き、Message（本文）に詳しく書き、必要ならスクリーンショットを添付して送信する。
  5. 以後の状況は同じポータルで確認できる（Open＝対応中／Closed＝解決）。返信はメールで届きます。

本文に書くこと

  • 影響を受けた（または確認したい）アドレス：addr1 と stake1
  • チェッカーの結果（該当／非該当）と確認した日時
  • いまの状態：資産が残っている／抜かれている／移行ツールが使えない（残高不足・導線が出ない・拡張機能）
  • 関係するトランザクション ID と日時
  • 使っている端末とアプリの種類・バージョン（モバイル／拡張機能）

絶対に書かないこと・求められても渡さないこと

リカバリーフレーズ、秘密鍵、ウォレットのパスワード。公式の手順書にも、サポートが復元フレーズを尋ねたり送金を求めたりすることはない、と明記されています。

SecondFi will NEVER request private keys, recovery phrases, or wallet credentials, and we will never DM or email you first. Do not accept links from anyone, including people claiming to be SecondFi team members, support, or partners. If you receive a message like that, it’s a scam.

返信が本物かどうか

  • 本物の返信は、あなたが出したチケットへの返信としてポータルとメールで届く。SecondFi 側から先に連絡が来ることはない。
  • 本物は、送金先アドレスを提示しない。料金を求めない。アプリや遠隔操作ツールのインストールを求めない。電話やビデオ通話をかけてこない。会話を別のチャネルに移そうとしない。
  • 「移行ツールへのリンク」を送ってくるものは偽物。移行は手元の公式アプリの中でしか行えない。

続報について

本件は現在も動いています。9 月に見込まれているリカバリーポータルの公開、残高不足のウォレットに対応する移行ツールの次の版、NIGHT の解凍分や DEX のロックアップ分に関する公式の手順が出た時点で、本記事を更新するか、続報としてあらためてお伝えします。SIPO は回収基金のアドレスを継続して確認しており、最初の送出が記録された時点でもお知らせします。

残高があり、移行ツールが使える方には、急ぐ理由も、先延ばしにする理由もありません。残高不足で進めない方は、公式の次の版を待ってください。まず自分の状態を確かめ、新しいリカバリーフレーズのウォレットを用意し、自分のケースの手順で移し、そのあとステークプールと DRep を委任し直す。この一続きを落ち着いて終えることが、いまいちばん確実な一手です。

印刷用チェックリスト（PDF・A4 1 枚・2026 年 8 月 23 日版）はこちら → チェックリストを開く

一次ソース・参照

関連記事

Deep Dive
SecondFi の移行ツールが公開されました——手順は 4 ステップ、委任は両方外れ、NIGHT の受け取り先は変更できません
Signal
📡 Signal｜Laceへ資産を安全に移すには——新しい鍵・アドレス確認・少額テストの正しい順番
マニュアル
Midnight公式ポータル公開：NIGHT受け取り前のチェック方法まとめ