カルダノウォレットで約3.9億円流出 セカンドファイ「2週間で返す」と表明、秘密鍵漏洩の深刻度

カルダノ系ウォレット「セカンドファイ」が、火曜日に発生したエクスプロイト被害を受けたユーザーに対し、資産返還に向けた道筋を特定した。テストとセキュリティ審査を経たうえで、約2週間後にも資産の返還を始める見通しだという。

セカンドファイの開発元エマーゴのCEO、フィリップ・ポン氏は土曜日の声明で、同社がフォレンジック調査を完了し、被害ユーザー向けの回復手順を確立したと明らかにした。ポン氏によれば、今後1週間は回復ソリューションの構築に充て、その後さらに1週間をテストに費やす。そのうえで、資産返還に着手するという段取りだ。

同氏は、ユーザーに対し、公式な案内以外で資産移動などの行動を取らないよう呼びかけた。今回の回復プロセスは、現在のウォレット状態を前提に設計されており、ユーザーが独自に動けば、安全な資金返還をかえって複雑にしかねないという。

SecondFi developer Emurgo shared an update on the wallet's recovery efforts. Source: Emurgo

セカンドファイは火曜日、セキュリティ侵害を公表していた。被害は374件のアドレスに及び、約1600万ADA、当時の価値で約240万ドル、日本円で約3億8800万円相当に上った。

同社は以前、今回の問題について、カルダノのウェブウォレット生成ソフトウェアにおける「アドレス単位の不具合」が原因だったと説明している。この不具合により、ユーザーの秘密鍵が露出したという。

一方で同社は、緊急措置によって約1億2900万ADAを保全したとも説明している。これらの資金は独立した第三者カストディアンに移されており、検証と回復プロセスが完了するまで、その管理下に置かれる。

ただしセカンドファイは、脆弱性の詳細や、攻撃がどのように実行されたのかを説明する包括的な事後検証レポートを、現時点ではまだ公表していない。

セカンドファイ、回復手続き便乗の詐欺に警告

セカンドファイは土曜日の別の更新で、回復作業が進むなか、同ウォレットになりすました偽メッセージが出回っているとして注意を促した。

同社によると、ユーザーの参加を求める回復手続きはまだ始まっていない。また、同社が秘密鍵、シードフレーズ、ウォレット認証情報、あるいはウォレットへの直接アクセスを求めることは決してないという。

セカンドファイは、ウォレット情報の提出や資産移動、即時対応を求めるメッセージについて、同社の確認済み連絡チャネル外から届いたものはすべて詐欺とみなすべきだと警告した。

支援が必要なユーザーについては、回復プロセスが続くあいだ、公式サポートポータルを通じてチケットを提出するよう求めている。