SecondFi（旧Yoroi）の事故 — 何が起きた？ どうすればいい？

役割の違う2つの公式プロセスがあります。 ① 移行ツール（アプリ内で公開済み・Bitdefender評価済み）＝いまウォレットに残っているCardano資産（ADA・トークン・NFT）を新しいウォレットへ移すもの。SecondFiは事業終了のため、残高がある人は被害の有無を問わず全員使います。手順は上のSTEP 1〜6のとおり。注意：ステーキングは自動解除されるので新ウォレットから再委任／元のアプリと復元フレーズは消さない／移行してもクレーム（被害申請）には影響しません。 ② 回復プロセス（9月提供見込み）＝盗まれた資産と、EMURGOが退避させた保護資産を返すもの。復元フレーズを明かさず、ゼロ知識証明で所有権を証明する方式です。被害があった方は、いまはアプリからクレームを出して（STEP 5）待つだけ。 まとめ：残っている資産→①、盗まれた・保護された資産→②。被害者の多くは両方使います。リンクは公式のみ（@secondfiapp・@secondfi_jp・support.secondfi.io）。

時系列はこれだけです：①保護モード（稼働中・アプリは閲覧専用）→②移行ツール（公開済み・上のSTEP 3）→③資産回復ツール（9/12時点でまだ未公開——公式KB：「ZKセキュリティ監査・スマートコントラクト監査の途中、9月中の提供見込み」（8/28）／「9月上旬見込み、監査の進捗に応じて日付を確定」（9/3）。IOGやCardano Foundationなどの協力による初のゼロ知識証明ベースの回復ツールで、監査完了後に公開——速さより安全を優先）。脆弱性のパッチは完了済みです。組織面では、SecondFi／Yoroiの廃止（ワインドダウン）が確定し、資産返還だけを任務とする専任チームが残ります。EMURGOはPentadの職務から退き、回復に集中しています。信用してよい公式チャネルは @secondfiapp・@secondfi_jp・support.secondfi.io・checker.secondfi.io のみ。

被害（7/22公式確定）＝374ウォレットから約1,610万ADA。緊急対応で約1.29億ADAは先回りして保護済みです。危険だったのは一部のウォレットだけで、ハードウェアウォレット利用者は対象外。原因の欠陥は修正済みです。犯人については、独立フォレンジック企業Groom Lakeの中間評価で「国家系グループと整合する高度な外部攻撃者」が主犯とされています（北朝鮮Lazarus系との重なりを評価中・確定ではありません）。そしてSecondFi／Yoroiは再開しません——廃止（ワインドダウン）が公式に確定しており、資産返還だけを行う専任チームが残ります。

あります。SecondFi は 9/23 に、回復ツールのリリースに合わせた「Asset Recovery Tool ローンチワークショップ」を告知しました。大阪 10月10日（土）10:00〜14:00、東京 10月11日（日）10:00〜14:00（会場は登録者にメールで案内）。内容は CEO の最新状況、回復ツールを使った手続きの案内、技術チームとのライブ Q&A で、今回はスタッフの案内のもと自分の端末でその場でツールを使えます。ノートパソコンかスマートフォンを持参してください。対象は被害を受けた方のみ（被害なしの方は参加不要）。被害者の申し込みが一定数に達した場合に開催が決まり、開催可否と会場は登録したメールに届きます。英語・日本語。Luma で事前登録: 大阪 https://luma.com/xc6q60z4 ／ 東京 https://luma.com/2pp8scuo。（9 月の大阪 9/16・東京 9/17 のデモセッションは終了。あれは実演のみでした。）

まだです。ただし時期の目安は出ました。9/23 に @secondfi_jp が、ツールの公開に合わせた「ローンチワークショップ」（大阪 10/10・東京 10/11）を告知したので、公開はその前後と見られます（正確な公開日は未発表）。その前の最新情報は 9/14 の @secondfiapp の監査報告です：最初のセキュリティ監査（zkSecurity 社）が終了し、重大な不具合2件は修正済み、軽い不具合2件は残るが悪用はできない判定。次にスマートコントラクトの監査があり、公開は「数週間以内」の見込み、公開前に手順書を出すとのこと。以前の「9月中」「9月上旬」（KB 8/28・9/3）はもう現在の予定ではありません。告知が出るまでやることはありません——アプリと復元フレーズをそのまま保管し、クレームのチケット番号は誰にも教えず、@secondfiapp／@secondfi_jp／kb.secondfi.io を見ておくだけです。先に移行しても回復の資格には影響しません。

アプリを開くだけです。青色の表示＝暫定データに該当なし、オレンジ色の表示＝影響あり（上のSTEP 4と同じ色分けです。スマホで開けない場合は先にアプリを更新）。checker.secondfi.io でも二重確認できます（署名を求めることは絶対にありません）。アプリ自体を開けない場合は、Lace 2.1の「ウォレット・セキュリティチェック」、エクスプローラでのステークアドレス確認、または「見るためだけ」の復元（署名は絶対にしない）でも確認できます。注意：「被害がまだ無い」＝「安全」ではありません——ソフトウォレットで一度でも取引を承認したことがあるなら、STEP 2〜3の移行が必要です。ハードウェアウォレットのみの方・一度も承認していない方は対象外です。

返る予定です。原資も既に用意されています——7/4にEMURGOが返還専用アドレスを公開し、公表被害額と一致する約1,610万ADAが入っていることを誰でもオンチェーンで確認できます（※あなたからこのアドレスへ送るものは一切ありません。送金を求める相手は詐欺です）。時期は回復ツールの監査完了後で、9月提供見込み（目標であり確定日ではありません）。やることはクレームの提出（STEP 5）だけです。一部だけ抜かれて残高が残っている場合も、それが普通です——自力で救出しようとしないでください（署名した瞬間にボットに先回りされます）。移行ツールで移せる分は移し、残りはクレームでカバーします。

大丈夫です。アプリは閲覧専用の「保護モード」で動いており、お金を動かす操作はできません。更新は公式ストア／secondfi.io/download 経由のみ（偽アプリ・偽拡張が出回っています。本物が不意に署名を求めることはありません）。なお「更新したから安全」ではありません——漏れた鍵は更新では直らないので、STEP 1〜6のとおり移行してください。

結論：「見るだけ」の復元は問題なし。新しいウォレットへ無事に移し終えた分も大丈夫です。・復元しただけ（送金なし）→ そこから何も実行しなければOK。まずチェッカーで状態を確認。・新しい復元フレーズの新ウォレットへ全額移し終えた → その分は安全のはず。元に戻さない・旧フレーズは二度と使わない。・移動が失敗した／途中で止まった → 再試行せず、クレームを出して公式の案内を待ってください。

焦らなくて大丈夫です。償還の仕組み自体は事件の影響を受けておらず、ポータルは2027年2月27日頃まで開いています（それ以降もスマートコントラクトを直接操作すれば償還可能）。 ・青色表示（影響なし）またはハードウェアウォレットの方 → いつでも通常どおり償還OK。ソフトウォレットだった方は「先に移行（STEP 3）→その後、空になった旧ウォレットで償還の署名」の順序が低リスクです。 ・オレンジ色表示（被害あり）→ 結論: 受け取り先の支払い鍵が被害一覧に載っていれば受け取れません。解放の瞬間にbotが自動で受け取って抜いています（2026年7月以降 655件中655件、解放から中央値35秒。本人が受け取れた例なし）。SecondFiも「取り戻せる保証はない」（9/21）としています。ステーク鍵だけが載っている場合は受け取れます（支払い鍵が無いとbotはNIGHTを動かせず、約303万NIGHTが受け取り可能のまま残っています）。どちらかは adatool.net/night-redeem のチェッカーで分かります。 ・SecondFiウォレット内に既にあるNIGHTはCardanoネイティブ資産なので、移行ツールが他の資産と一緒に移します。 ・「NIGHT請求を手伝います」というDMは例外なく詐欺です。詳しい手順 → adatool.net/night-redeem

期限は今のところ明示されていません。焦る必要はありません——復元フレーズを紙に控えてあるなら、仮に将来アプリが使えなくなっても、フレーズから他のウォレットに復元して送金する形でいつでも移行できます。落ち着いて上のSTEPを順番に進めれば大丈夫です（もし期限が設定される場合は、公式チャネルでのみ告知されます）。

ハードウェアウォレット利用者は今回の事件の対象外で、移行ツールも不要です。LaceやEternlで「ハードウェアウォレットを接続」を選ぶだけで残高が表示され、いままでどおり使い続けられます（復元フレーズの入力ではなく「接続」です）。接続がうまくいかない場合は、Ledger Liveの更新→再接続→ブラウザに出る接続許可ポップアップの見落とし確認、の順で。Laceでダメな場合はEternlだと成功しやすいです。なお、普通のソフトウォレットを後からハードウェア化することはできません——資産をハードウェアウォレットに移したい場合は、そのハードウェアウォレットの受取アドレスを移行ツールの宛先に指定します。

宛先は「自分が管理するCardanoウォレットの、新しいアドレス」一択です。 ・MetaMask → 不可能です（Cardano非対応）。 ・取引所のアドレス → 規約違反です（「取引所のアドレスではない」というチェックへの同意が必須）。しかもNIGHTなどのトークンも全部まとめて送られるため、取引所側で消失するリスクがあります。一旦自分のウォレットへ移し、必要な分だけ取引所へ送ってください。 ・一部だけ／テスト送金 → できません。攻撃を無効化するため、全額一括のみの設計です。 ・複数のSecondFiウォレットを1つの新ウォレットにまとめる → OKです（NIGHTの請求権には影響しません）。 ・Daedalusで新しいウォレットを作って宛先にする → OKです。 ・勝手に送りつけられていた詐欺トークンも一緒に移りますが、受け取るだけなら無害です（触らず放置でOK）。

8/22のEMURGOミートアップで確認できた緩和ルールを、条件を厳密にして書くとこうです。2026年6月8日ごろから6月23日（アプリが送金停止になった日）までの間に、SecondFiアプリ（YoroiからSecondFiに更新した後のアプリ）で一度も署名していない（送金・委任変更・NIGHT受け取りなし。アプリを開いて残高を見るだけは含まない。6月23日以降はアプリ自体が送金できない）なら、自己責任のもと、移行ツールを使わずに復元フレーズをLace／Eternl／VESPR／Daedalusに入れて使い続けるだけでも大丈夫です。ステーキングもそのまま継続されます。安全な理由：攻撃には「あなたが署名した取引」が必要で、復元だけでは何も署名しないからです。注意：SecondFi公式の推奨は今も「Yoroi/SecondFiで残高を持ったことのあるウォレットは全て移行ツール」です。Affected表示が出ていなくても鍵が漏れている「隠れ流出」の可能性は否定されておらず、インシデント期間の正確な開始時刻も公表されていません（コミュニティ推定は6/8 UTC。6/7の取引は無事だったことを確認済み）。100%の確信が持てないなら移行ツールを使ってください。

はい。アプリを開く・残高を見るだけは「操作」に入りません。数えるのは署名した行為（送金・委任変更・NIGHT償還）だけです。6月以降に何も署名しておらず残高も無事（青色表示）なら、Lace→ウォレットを追加→復元→SecondFi/Yoroiの復元フレーズを入力、で作業は終わりです。ステーキングもDRep委任もそのまま引き継がれ、再委任・移行ツール・チケットは不要です。先に作った空の新ウォレットは削除しても放置しても構いません（後で移行ツールを使うと決めた場合の宛先として使えるだけです）。2つの道はどちらか一方です：(A) 復元だけ＝旧ウォレットの鍵をそのまま普通に使い続ける、(B) 新ウォレット＋移行ツール＝旧鍵を引退させる代わりに未払い2〜3エポック分の報酬を失い再委任が必要。どちらでも問題ありません。不安が残るなら(B)が「後悔しない」選択、(A)はシンプルで報酬も全て残ります。今後のNIGHT償還も、復元したウォレットからそのまま行えます。

ウォレットに着金済みの報酬（引き出していない「利用可能な報酬」も含む）は、移行ツールが引き出しと送金を同時に行う作りのため一緒に送られる想定です（実際の取引はcardanoscanで確認できます）。消えるのは、これから入る予定の2〜3エポック分です。ツールは送金と同時に委任解除を行い、解除された鍵への報酬はリザーブに戻る挙動になるためです。被害なしのウォレットで取りこぼしたくない場合は、(a) 未払い分のエポックが支払われてから移行する、(b) 別ウォレットに復元して手動で約99%を送り、ステーキングは続けたまま後で移行ツールを使う、のどちらかです。被害ありのウォレットでは絶対に試さず、すぐに移行ツールで全額送ってください。

使えます（典型例：移行後に旧ウォレットへNIGHTを償還し、それも送りたい場合）。注意点は2つ。①旧ウォレットに手数料分のADAが少し必要です（空なら10〜20ADAを戻してから。「トランザクションを準備できませんでした」はたいてい手数料不足）。②SecondFi側の残高表示は更新が遅いので、新ウォレットかcardanoscanで確認してください。「サポートに連絡」のエラーが出ても、新ウォレットに全額届いていれば移行は完了しています。

1回の実行につき1ウォレットです。宛先を全て同じ新ウォレットにしても問題ありません（NIGHTの受取権利は旧アドレスに紐づいているので、新ウォレットが1つでも3つでも関係ありません）。分けるかどうかはリスク管理上の好みです。現行のSecondFiは復元フレーズで2つ目のウォレットを追加できないため、別のウォレットを移行するにはアプリを削除して入れ直す（または別端末・別ブラウザ）か復元してください。2つ目でエラーが出る場合は、少し時間を置き、SecondFiを閉じて開き直して再実行するとうまくいった例があります。

はい。移行ツールはステークプール委任もDRep委任も解除するので、新ウォレットで委任し直してください（Lace・Eternl・VESPR・Daedalusどれでも可）。報酬が始まるまで3エポックかかります：エポックNで委任→N+2で有効→N+4の開始時に初回支払い、つまり15〜20日は何も入らず、その後5日ごとです。報酬の引き出しにDRep委任が必要なのはプロトコルの仕様で、どのウォレットでも同じです（「棄権（Abstain）」でも可）。Yoroi特有の制約ではありません。なお復元フレーズで復元しただけ（ツール未使用）なら、両方の委任はそのまま引き継がれます。

移行ツールに必要なのは受信アドレスだけなので、Cardanoウォレットならどれでも可です。コミュニティのおすすめ：PC→Lace か Eternl、スマホ→Lace か VESPR（3つとも操作動画をこのページからリンクしています）。NIGHTを償還する予定なら、ポータルのLace対応はPCのみで、スマホならVESPRアプリ内の償還機能を使います。LaceはIOG製でオープンソース、Eternlはオープンソースではありません。新ウォレットを作ったあと、その復元フレーズを別アプリ（Daedalusなど）に復元するのは自由で、同じウォレットとして使えます。送金する前に、必ず新しい復元フレーズを控えてください。

Daedalus・Yoroi・Laceはどれも同じオンチェーンのウォレットを表示しているだけで、Yoroiに復元しても資産が「移動」したわけではありません。問題は、そのウォレットが6月以降にYoroi/SecondFiで署名したか（NIGHT償還も署名に含みます）だけです。していなくて残高も無事なら、上の緩和ルールどおりDaedalusでそのまま使えます。署名した、または確信が持てないなら、新しいウォレットを作り（DaedalusでもLaceでも可）、移行ツールで全額を移してください。旧ウォレットからの少額の「お試し送金」は攻撃Botの引き金になるので絶対にしないでください。ハードウェアウォレットの方は影響を受けていません。端末をLace/Eternlに接続してそのまま使えます。

2つのケースがあります。(a) ウォレットにステーキング中のADA（プールに委任）が残っているのに残高0・手数料分も無い、という場合：ツールが言っていた「次のバージョン」は公開済みです（公式・9/9）。公式ストアでアプリを更新すると、ステーク中の残高が表示され、手数料SecondFi負担で移行できます——自分で入金はしないこと。(b) 本当に事故で抜かれたウォレットの場合：その表示は正常です。移行ツールは「いまウォレットに残っているもの」しか動かせず、資産は別立ての資産回復ツールで戻ります。今できるのは、サポートチケットが出してあることの確認だけです（STEP 5：総被害額・アドレス・メール）。時期は、EMURGOによると9月中旬以降（9/5時点）で、シルバーウィーク前に再度説明会が予定されています。数日〜数週間の遅れはあり得るので、気持ちとしては「年内」と構えておくと楽です。戻ってくるADAをどのウォレットで受け取るか（指定方法）は、そのプロセスの案内で示されます。返還原資（約1,610万ADA）はすでにオンチェーンで確保されています。

アプリは削除して構いません（いずれ終了します）。ただし旧ウォレットの復元フレーズは捨てないでください。これから解放されるNIGHT（割当は12/4までに順次解放）は、受取先が変更できない仕様のため、旧ウォレットでしか償還できません。最後の償還が終わるまでオフラインで安全に保管し、その後は不要になります。

やめてください。ツール自体に「取引所のアドレスではない」ことを確認するチェックボックスがあり、規約の外の行為になります。9/4にコミュニティの方が実際に試したところ、無価値トークンがわずかに付いた163ADAをツールでbitbankに送ったものは、cardanoscan上では着金しているのに1日以上たっても残高に反映されず、一方で別アドレスから通常送金した2.8ADAは即座に反映されました。ネイティブトークンが同乗すると取引所側の処理が詰まるためです。別の方は同様のケースで回復手数料121,000円と1か月以上を要しました。必ず「SecondFi→自分のCardanoウォレット→取引所（ADAのみ）」の順で送ってください。MetaMaskはそもそもADAを受け取れません。

必要です。ステークプールに委任しているウォレットには、ステークキーのデポジットとステーキング中のADAがあり、旧アプリのポートフォリオ残高には表示されていませんでした。つまり「0」でも「動かすADAがある」ことがあります。9/9にSecondFiはまさにこのための移行ツール版を公開しました：公式ストアでアプリを更新（または公式拡張）→ステーク中の残高が表示される→移行を実行。ネットワーク手数料分のADAが足りないウォレットも、SecondFiが手数料を負担するので移行できます。「動くようにするため」に自分でADAを入金してはいけません。事故で抜かれたウォレットはこの話の対象外で、回復ツールを待ちます。公式投稿：x.com/secondfiapp/status/2096816152085504135（9/7）、x.com/secondfiapp/status/2097503652927905854（9/9）、x.com/secondfi_jp/status/2097682922690224237（9/9・日本語）。

公式KBに書かれている2点です。移行ツールはADAのステーキングを解除するので、①新しいウォレットでステークプールに再委任する（約2エポック後から報酬再開）②DRepを選び直す（ガバナンス委任は引き継がれません。未設定でも報酬の引き出しは可能ですが投票権がない状態です）。どちらも通常の少額手数料だけです。あわせて、ネイティブトークン／NFTが全部届いたかも確認を（ツールは残高を丸ごと1回の取引で動かします）。

想定内で、公式の移行FAQ（9/3）にもこのケースが載りました。Cardanoではネイティブトークンを送るのに送信元アドレスに少額のADAが必要ですが、移行ツールはADAを全部運び出しています。対処：旧アドレスに10〜20 ADAを送り返し（5 ADAでは足りなかった例あり）、NIGHTを新ウォレットへ送る——または移行ツールをもう一度実行して回収します。ただし旧ウォレットが事故で抜かれた側の場合は対象外で、その鍵は回復ツールまで触らないこと。手順はNIGHTガイド（/night-redeem）に。

順番に試してください：①アプリを最新版へ——対応バージョンは10.4.2.4です（アプリ内の表記が「10.4.2」のままでも中身は最新のことがあります。基本は自動更新ですが、出ない場合はストアを確認）②アプリと端末を再起動 ③数時間おいて開き直す——3〜4時間後に画面が出てきた例があります。それでも出ない場合は公式サポートへ。機種変更などで新しい端末にウォレットが入っていない場合は、先に復元フレーズで復元すると移行画面に進めます。

送金の直前に旧Yoroiの送金パスワードを求められるのは、正規の最終ステップです（入力して大丈夫です）。忘れてしまった場合は、復元フレーズでウォレットを復元し直すと、パスワードを新しく設定できます。

正常です。現行のLace（2.0以降）は、端末内の全ウォレットで共通の「グローバルパスワード」1つを使う方式です。すでにその端末でLaceを使っている場合、ウォレットを追加・復元しても新しいパスワードは聞かれず、以前設定したものがそのまま適用されます。（Lace 1.xはウォレットごとに個別パスワードでしたが、2.0へのアップグレード時に新しいグローバルパスワードを1つ設定し、各ウォレットを従来の「レガシーパスワード」で一度確認する流れに変わりました。それ以降はその1つだけです。）

・アドレスが無効 → コピペのときに先頭や末尾へ「見えないスペース」が入るのが典型です。もう一度コピーし直して貼り付け、先頭と末尾の8文字を照合してください。 ・トランザクションを準備できない → 手数料用のADA不足が典型です（NIGHTなどのトークンを送るには、ウォレットに少額のADAが必要）。少しADAを足してから再試行してください。

・英語表示 → 現在のバージョンでは日本語に戻せない場合があります。画面の並びと流れはこのページの手順とまったく同じなので、そのまま進めて大丈夫です（今後のアップデートで日本語に戻る見込みです）。 ・ウォレット名／アカウント名 → 端末ごとの表示名にすぎず、いつでも自由に変更できます。PCとスマホで違っていても問題ありません。

「無効な復元フレーズ」：単語の間は半角スペース1つ、先頭の単語がキーボードの自動大文字化で大文字になっていないか、全ての単語がBIP39リストにあるか（よくある罠：send→正しくはsand、blue／blur など）を確認してください。新規ウォレットの確認画面でどうしても通らない場合はLaceの既知の不具合なので、そのウォレットを削除して作り直すと通ります。画面が切れる：Windowsの表示倍率が125%／150%になっていると起きます。100%にする（設定→システム→ディスプレイ）か、Ctrl＋マウスホイール／2本指ピンチでブラウザを縮小してください。Laceの設定→デフォルト表示モード→「拡張」でも全画面表示になります。

移行対応版は10.4.2.4ですが、アプリ内の表示は「10.4.2」のままなので、その表示でも最新の可能性があります。ストアで更新を確認し、端末を再起動して開き直してください。移行のポップアップは数時間後に出てくることもあります。古いAndroid／iOS端末には1〜2日遅れて配信されました。復元フレーズを控えていれば、アンインストールして入れ直しても問題ありません。それでも落ちる・移行画面が出ない場合は support.secondfi.io からサポートチケットを出してください。上の緩和ルールに当てはまるウォレットなら、SecondFiを経由せずLaceに復元するだけでも構いません。

ハードウェアウォレットの方はそもそも移行ツール不要で、Laceの「ウォレットを追加→ハードウェアウォレット」で接続するだけです（復元も不要）。接続できない場合：Ledger Liveと本体ファームウェアを更新する（8月下旬のファームウェア更新でLedger側の同期不具合が直った例あり）、接続時にブラウザに一瞬出るUSB許可ポップアップを見逃さない、抜き差しする、それでもダメならEternlを試す（接続が安定しやすい）。なお、ソフトウェアウォレットを後からハードウェア化することはできません。ハードウェア接続のウォレットを作って、そこへ送金します。

・原因（公式確定）＝「決定論的nonce」の欠陥。取引を承認するたびに、鍵を割り出せる情報が漏れていました。危険なのは「承認」で、残高を見るだけは安全——ガバナンス関連の署名も承認に含まれます。・「危険な状態」＝盗まれたでも安全でもなく、鍵がずっと危険なまま（後から入れたお金も抜かれ得ます）。・Ctrl Walletも同じインシデント・同じ扱い。・「旧Yoroiしか使っていないから安全」は通用しません（自動でSecondFiに更新されたため。効くのは承認したかどうか）。・メンテ中も被害が続いたのは、すでに漏れた鍵はアプリを止めても守れないからです。

6月以降にYoroi/SecondFiで作った取引で、関係する受信アドレスの秘密鍵が漏れました。攻撃者は「自分が攻撃したアドレス＋EMURGOがホワイトハックしたアドレス」のリストと鍵をほぼ確実に持っており、Botを回しています。該当アドレスが取引に署名した瞬間、BotはUTXOから残りの資産の場所を把握し、同じブロックで抜き取ります（フロントラン）。したがって：(a) 別ウォレットへの復元は何も署名しないので何も起きない、(b) 被害ウォレットからの「少額テスト送金」はまさに攻撃の引き金なので絶対にしない、(c) 移行ツールは全額を1取引で送るので、このフロントランを無効化できる。なお侵害は「ウォレット単位」ではなく「アドレス単位」です。同じウォレット内に抜かれたアドレスと無事なアドレスが混在するため、残高が一部残ることがあります。

SecondFiの9/2投稿より。アプリが弾くのは①形式不正・メインネット以外のアドレス（Cardanoのアドレスは addr で始まる。それ以外は受け付けない）②自分の現在のウォレットアドレス③事故に関係するアドレス（被害・隔離ウォレット）。一方で、所有者・正当性・安全性・回収可能性・取引所の入金アドレスかどうかは検証しません——取引所チェックはあなたが入れるチェックボックスだけで、SecondFiは「その確認はユーザーの責任」としています。したがって：SecondFiに表示されたアドレス全体を新ウォレット側の表示と突き合わせる（先頭と末尾だけでは不十分。クリップボードを書き換えるマルウェアはコピーと貼り付けの間でアドレスを差し替えます）、できればウォレットアプリ内で確認する、取引所アドレスは絶対に使わない、署名した送金は取り消せない、を守ってください。投稿：x.com/secondfiapp/status/2095013863158858056。

本当です——これが唯一の例外で、公式KBは「復元フレーズは secondfi.io 上の公式資産回復ツールに直接入力する場合を除き、誰にも教えない」と明記しています。なぜ必要か：ツールは鍵から生成したゼロ知識証明で「抜かれたウォレットの持ち主であること」を証明します。提出されるのは証明であって、フレーズそのものが誰かに送られるわけではありません。それでも危険な理由：同じ見た目の偽ページはフレーズをそのまま盗み、その鍵に後から入れた資産も抜かれます。したがってルールは「①SecondFiが @secondfiapp／@secondfi_jp／kb.secondfi.io で公開を告知した後に ②アドレスバーが正確に secondfi.io のページで ③その公式リンクから辿った場合だけ」入力する——検索結果・広告・メール・DM・リプライからは絶対に開かない。公式の公開前にフレーズを求めるものは、定義上すべて詐欺です。