Cake Walletは安全？

セルフカストディ型ウォレットにとって「安全」には2つの側面があります。ソフトウェアが鍵を守れるかどうか、そして周囲の詐欺を避けられるかどうかです。このページでは、2026年10月時点の情報をもとに、日付を添えて両方を解説します。

簡単な答え

• 正規のアプリか：はい。Cake WalletはCake Labsが開発し、2018年からApp Storeで提供され、コードはMITライセンスでGitHubに公開されています。
• 鍵は自分の手元に：オンチェーンの通貨はノンカストディアルです。Cakeは資金の凍結、取り消し、復旧ができません。
• 完璧ではない：深刻な欠陥が1件（2020〜2021年の弱いBitcoin seed）、2026年に中程度のアドバイザリーが1件あり、ビルドは第三者が再現できません。
• 最大のリスク：コードではなく人です。議論されている損失の大半は、偽アプリ、偽サポート、seedの盗難によるものです。

セキュリティの要素

2020〜2021年の弱いBitcoin seed

最も重要なインシデントです。2020年から2021年初めにリリースされたCake Walletのバージョンは、安全でない乱数生成器を使ってBitcoinウォレットを生成していました。影響を受けるのは12単語のElectrum形式（「Segwit」）のBitcoin seedです。研究者の推定では、実効的なランダム性が非常に低く、攻撃者が鍵を再構築できるとされています。

研究者は8,757件の弱いウォレットを数え、2020年11月から2024年10月までにそれらを通じて約548.9 BTCが移動したとしています。そのすべてが盗まれたわけではなく、損失総額は公表されていません（Milk Sad研究アップデート、2024年）。分かっている限り、Monero、Litecoinなどの通貨は影響を受けていません。

対処法：2020年または2021年初めにCake Walletで作成した12単語のBitcoin seedを持っている場合、またはそのseedを別のウォレットにインポートした場合は、漏洩したものとみなしてください。最新バージョンで新しいウォレットを作成し、残っている資金をすぐに移しましょう。当サイトのseed種類チェッカーを使えば、単語数だけでseedの種類を判別できます。単語そのものはウェブサイトに絶対に入力しないでください。

オープンソースで証明できること・できないこと

オープンソースのコードにより、Cake Walletが鍵をどう作成し、ノードとどう通信し、取引をどう組み立てるかを誰でも読むことができます。外部の研究者が2021年のseedの欠陥を詳しく調べられたのもそのおかげで、コードの変更はGitHub上で公開の形で行われます。

しかし、ストアのアプリがそのコードからビルドされたことまでは証明できません。Cakeはビルドがまだ再現可能ではないとしており、自分でコードをコンパイルして同一のファイルを得て比較することはできません（Cake Wallet VERIFY.md、2026年）。確認できるのは、ダウンロードが本物かどうかです。2026年9月、Cakeは新しいリリースのチェックサムファイルとタグに署名するリリース鍵を公開しました。すべてのリリースにSHA-256ハッシュが記載され、GitHub、Accrescent、CakeのF-Droidリポジトリから入手するAndroid APKは同じ署名証明書を共有しています。両方の確認方法はダウンロードガイドで紹介しています。

また、2026年10月時点で、Cake Walletアプリの独立したセキュリティ監査の公開は確認できませんでした。Cakeは脆弱性開示ポリシーを運用しており、研究者はGitHubや暗号化メールで非公開に問題を報告でき、Cakeは修正の配信後にアドバイザリーを公開します。

その他のアドバイザリー

2026年9月4日、CakeはGitHubアドバイザリーGHSA-695v-fhpj-fv8x（深刻度：中程度）を公開しました。バージョン6.1.2〜6.3.0では、チェーンIDが欠落するため、Ethereum形式の支払いリクエストが誤ったEVMネットワーク向けに作成される可能性がありました。リスクは支払いの失敗や誤送金で、鍵の盗難ではなく、6.4.4で修正されています。最新バージョンにアップデートしてください。インシデントの全一覧はセキュリティの歴史のページにあります。

Lightningをめぐる問題

バージョン6.0（2026年2月）で追加されたLightningは、Breez SDKを通じてSparkネットワーク上で動作します。Cakeは、チャネル管理が不要なセルフカストディだと説明しています。一方、そのドキュメントには、Sparkの送金は少数の許可制の運営者が共同署名し、運営者は金額やアドレスを見られるとも書かれています（Cake Walletドキュメント、2026年）。

2026年10月6日、WalletScrutinyはCake Walletを「Custodial」（カストディアル）に再分類しました。その分析によれば、アプリには運営者なしでLightning残高をオンチェーンに戻す手段がないためです。これはLightning残高のみに関する判断で、Monero、オンチェーンのBitcoin、その他の通貨には関係しません。慎重を期すなら、Lightningには日常の支払い用の金額だけを置きましょう。Cake WalletのLightningをご覧ください。

プライバシーと安全性

Cake Walletは初期設定でCake自身のノードやサービスに接続します。便利ですが、これらのサービスからはあなたのIPアドレスや、どのウォレットデータを要求したかが見えます。プライバシーを高めるには、自分のノードかTorを使いましょう。注意点として、Silent Paymentsでは、自分のBitcoinサーバーに必要なインデックスがない場合、アプリはCakeのサーバーに切り替えるとCakeのドキュメントに記載されています。詳細はプライバシーとTorとカスタムノードをご覧ください。

実際に損失が起きる場面

• seedを求める偽アプリやクローンサイト。当サイトのダウンロードガイドにある公式の配布元からのみインストールし、ダウンロードチェッカーでリンクを確認してください。
• 偽サポート。Cake Walletは、サポートがseedを尋ねることは絶対になく、向こうから連絡してきてサポートを申し出る人はほぼ間違いなく詐欺師だとしています（Cake Walletドキュメント、2026年）。
• スクリーンショット、メモアプリ、クラウドストレージ、メールなど、オンラインに保存されたseed。
• アドレスやネットワークの間違い。取引は取り消せません。アドレスチェッカーを使い、まず少額でテスト送金しましょう。
• 盗まれた暗号資産を取り戻すと約束する「復旧」サービス。これらは詐欺です。

その他の警告サインは偽のCake Walletアプリと詐欺をご覧ください。

安全チェックリスト

1. 自分でcakewallet.comを入力してアクセスし、App Store、Google Play、Accrescent、CakeのF-Droidリポジトリ、GitHubからインストールする。
2. アプリを最新の状態に保つ。
3. 各seedを紙に書き、オフラインで保管する。25単語のMonero seedの場合はrestore heightも書き留める。seedのバックアップを参照。
4. 強力なPINを設定し、Cake 2FAも検討する。Cakeによれば、2FAはスマートフォンを手にした人への対策にはなるが、seedを手にした人への対策にはならない。
5. 大きな金額にはハードウェアウォレットかCupcakeを使う。LedgerとTrezorを参照。
6. 2020〜2021年に作成した12単語のElectrum seedを使う古いCakeのBitcoinウォレットは置き換える。
7. seedは決して共有せず、向こうから連絡してくる人は無視する。

ウォレットが侵害されたと思ったら

Cakeのアドバイスは、影響を受けた通貨ごとにすぐ新しいウォレットを作成して残りの資金を移し、古いウォレットの使用をやめ、すべてを記録に残し、盗難を警察とCakeのサポートに報告することです（Cake Walletドキュメント、2026年）。Moneroウォレットは攻撃者の同期に時間がかかることがあり、対処するためのわずかな猶予が生まれる場合があります。「復旧」を手伝うという人には、決してそれ以上お金を送らないでください。

よくある質問