SecondFi：ゼロ知識証明による救済、アイデアから実運用へ

SecondFi（旧Yoroi）は10月20日、資産回収ツール（Asset Recovery Tool）の公開（10月7日）以降、検証済みの申請の送付先アドレスへ、すでに1億ADA超と2,200万NIGHTを返還したと発表しました。Anastasia LabsのCEO兼創業者であるPhil UPLC（@phil_uplc）は、野心的な言葉でこう要約しています。「私の知る限り、これは暗号資産の分野全体で最大規模の分散型エクスプロイトの是正だ」。

私たちはそれを検証しに行きました。すると、見出しよりも興味深い事実が見えてきました。注目すべきは救済の規模ではありません。そのやり方です。 つい最近まで学術論文上のアイデアでしかなかった工学技術が、実際に動いているのです。

まず、検証できること：資金は確かに戻った

私たちは見出しをそのまま信じるのではなく、実際にチェーンと突き合わせました。Cardanoブロックチェーンを自前のdbsyncノード（チェーン上の全取引を照会できるデータベース）で調べたところ、この数字は信用でき、むしろ控えめですらあります。

• 回収用ウォレットは現在、空です。 6月に確保された資金は送付先へ移動済みです。EMURGOの回収ファンドと回収用ウォレットの残高は1〜155 ADAです。
• 回収ファンドは10月に1億1,666万ADAを分配しました。 ピークは10月7日〜9日に集中しており、まさにツール公開のタイミングです。1,590万ADA単位のまとまった送金に加え、被害者への60〜115 ADAの個別返還が数十件ありました。
• NIGHTトークンも動きました（ポリシーID 0691b2fe…、供給量240億、一意に特定可能です）。

つまり、SecondFiは「1億ADA超を返還した」と発表し、チェーンはその期間にファンドから1億1,666万ADAが出金されたことを裏付けています。

では、Philの言う「この分野最大の是正」は本当なのでしょうか。ドル換算では違います。 Poly Networkは2021年に約6億1,100万ドル、Euler Financeは2023年に約1億9,700万ドルを返還しました。SecondFiの約1億2,900万ADA（6月時点の価格で約2,000万ドル）は、それぞれ30分の1、10分の1の規模にとどまります。ただし、メインネットが一度も侵害されたことのないCardanoエコシステムにおいては、SecondFiはその歴史で最大の是正であることは確かです。

先に進む前に、文脈をひとつ。Philは中立な観察者ではありません。 彼はAnastasia Labs（Cardano初のオプティミスティック・ロールアップ（楽観的ロールアップ）であるMidgardを手がける企業）のCEOです。proof-toolのリポジトリの主要コントリビューターの「company」欄によれば、回収ツールを構築したとみられる企業でもあります。彼の「この分野最大の是正」という言葉は、独立した評価ではなく、部分的には作り手としての自負です。だからこそ私たちはその言葉をそのまま受け取らず、チェーンと過去の事例の両方に突き合わせました。

本当の見出しは別のところにあります。

ZKが解決した問題

SecondFiが何をしたのかを理解するには、まず問題を理解する必要があります。2026年6月のエクスプロイトは、Ed25519署名における決定的nonceのバグが原因でした。決定的nonceとは、本来なら署名のたびに変わるはずの乱数値が固定されてしまうことを指します。ウォレットのコンポーネント（SDK @stashers.io/trantor）が監査済みライブラリを置き換え、値が再利用された署名を生成していたのです。その結果は残酷で、直感に反するものです。安全のために行う署名が、かえって資産を危険にさらすのです。

署名すること＝秘密鍵をさらすこと。 影響を受けたウォレットで署名をするたびに、攻撃者へ鍵を導出するのに必要な情報を与えてしまいます。

通常の回収であれば、ウォレットの所有者であることを証明するのは簡単です。秘密鍵でメッセージに署名します。 しかし今回の場合、署名こそができない行為でした。認証という行為そのものが、再び自分を危険にさらすからです。従来の手法はすべて使えません。

• 署名（チャレンジ＆レスポンス） → 壊れたnonceで鍵が漏れます。
• 手動のKYC → 数千人規模のユーザーに対応できず、鍵の管理権限も証明できません。
• カストディアンのスナップショット → 中央集権的で、正当な所有者と攻撃者を区別できません。

SecondFiに必要だったのは、何にも署名せずに「私はこのウォレットを管理している」と証明する方法でした。

解決策：署名せずに所有権を証明する、ZKで

回収ツールはゼロ知識証明（zero-knowledge proof）を使います。ゼロ知識証明とは、秘密の情報そのものを明かさずに、その情報を知っていることだけを証明する暗号技術です。ZK回路（Groth16、ライブラリはgnark）が、CardanoのCIP-1852規格の資格情報m/1852'/1815'/account'/role/indexを導出するマスター拡張秘密鍵をユーザーが知っていることを証明します。公開される情報は公開鍵だけです。

肝心なのは、証明が別の計算経路を通り、侵害されたEd25519署名関数を一切呼び出さないことです。署名する（＝鍵が漏れる）代わりに、そのアドレスを導出できることを示す数学的証明を生成します。そして見落とせない点があります。復元フレーズは、証明を生成するためにあなたのブラウザ内でローカルに使われるだけで、保存も送信もされません。 送信されるのは証明のみで、送付先アドレスはその証明の中に固定されています。

これらはzkSecurityによる独立監査を受けています。重大な指摘2件はサードパーティのライブラリ（gnark）にあり、すでに修正・再検証済みです。残り2件は自社リポジトリに関するものですが、実際には悪用できません。

本当に新しいもの：暗号技術ではなく、実運用への展開

ここに、この物語に新鮮な空気を吹き込み、かつ正直に語るべきポイントがあります。

アイデアは新しくありませんでした。 シードを明かさずに、鍵がシードから導出されることを証明する手法は、すでに発表されていました。AmericanFortressが2026年の2本の論文でまさにこれを記述しています（ZKPoSP、IACR ePrint 2026/1508、およびProvenance Proofs、2026/2204）。しかも示唆的な注記つきで——「まだ本番環境には展開されていません」。a16zもエアドロップ申請向けのZKを公開しており、Tornado Cashもどのノートかを明かさずに所属を証明していました。

新しいのは、SecondFiがそれを実運用に展開したことです。 Groth16をブラウザで動かすのは容易ではありません。証明を生成するために必要な鍵データであるproving keyのサイズは約1.2 GiBにもなります。SecondFiはgnark／gnark-cryptoに自前のパッチを7つ書き、被害者が重いインフラなしで自分のブラウザ内で約15分で証明を生成できるようにしました。論文にあったアイデアを、今日実際の被害者へ実際の資金を返している本番システムに変えたのです。

これが、アイデアと実運用の違いです。そしてSecondFiの仕組みを唯一無二のものにしています。私たちが検証できた限りでは、鍵が侵害されたウォレットから資金を回収するためにZKを本番運用した最初の事例です。

残る疑問

チェーンは返還を裏付けていますが、すべてが解決したわけではありません。

1. 正確にはあとどれだけ残っているのか。 ファンドは1億1,666万ADAを動かしました。SecondFiは被害者への返還を1億ADA超と報告しています。この差（内部の資金整理か、純粋な返還か）は精査に値します。
2. 「予防的救済」という説明には反対の解釈があります。 Fetchの分析は、チームとホワイトハット（善意のハッカー）が攻撃者より先に約1億2,900万ADAを確保したと読みます。Bitqueryの分析は、攻撃者の拠点が約1億3,500万ADAをかき集めて休眠状態の保管庫へ送ったと読みます。どちらの解釈が正しいかは証明されておらず、そのことを明記しておく必要があります。
3. 自動化（スマートコントラクトによる履行）は、10月20日時点では「近日中」とされていました。

自分を守る：公式チャネルだけを使う

分配が進むにつれ、被害に遭ったユーザーを狙う詐欺の試みが増えています。SecondFiの公式ルールは次のとおりです。復元フレーズ、秘密鍵、パスワードは誰にも共有しないこと。SecondFiから先に連絡を取ることは決してありません。請求を解除するために「回収用ウォレット」へ資金を送ったり、手数料を支払ったりしないこと。迷ったときは、secondfi.ioへ直接アクセスし、リンクを自分で確認してください。

---

出典： SecondFi公式発表（2026年10月20日、@secondfiapp）・Fetchによるオンチェーン分析（2026年7月14日）・Bitqueryによるオンチェーン分析（2026年6月24日）・proof-toolのzkSecurity監査・AmericanFortress、IACR ePrint 2026/1508および2026/2204・a16z crypto（ZKエアドロップ）・自前dbsyncによる検証（スナップショット2026年10月21日）。完全なリンクは公開版に掲載します。