暗号資産セキュリティセンター：資産を守るための完全ガイド

暗号資産を守るには、本人確認手段を堅牢にする、保管方法を目的に応じて選ぶ、すべての署名内容を確認する、資産の露出状況を監視する、復旧計画を用意するという5つの防御が必要です。ハードウェアウォレットだけでは、フィッシング、不正な承認、メールアカウントの侵害、自分が誤って承認した取引までは防げません。

暗号資産が実際に失われる経路から考える#

暗号資産の安全性は、1つの設定だけでは確保できません。取引所アカウントはメールの復旧機能から乗っ取られることがあり、自己管理ウォレットはシードフレーズの漏えい後に資産を抜き取られることがあります。正規のウォレットでも悪意ある承認に署名でき、正しい取引操作でも送金先のネットワークやアドレスを誤れば資産を失います。原因ごとに必要な対策は異なります。

取引所のログイン、復旧用メール、電話番号、シードフレーズ、秘密鍵、ハードウェアウォレット、ブラウザ拡張機能、APIキー、スマートコントラクトのアローワンスなど、資産移動を承認できる場所をすべて洗い出してください。一般的な注意事項の羅列ではなく、実際に対処できる脅威モデルが得られます。

用途に合わせて保管方法を選ぶ#

一定割合を必ずオフラインに置くといった、すべての人に当てはまるルールはありません。配分は、資産を使う時期、利用するネットワーク、バックアップを維持する能力、1つの障害領域で許容できる損失額によって変わります。

• 取引所アカウント： 近い将来の取引に使う資産には便利ですが、アカウントの安全性と保管事業者の運営に依存します。
• ホットウォレット： 日常的なオンチェーン操作に便利な一方、ブラウザ、拡張機能、フィッシング、署名ミスの影響を受けます。
• ハードウェアウォレット： 通常のブラウジング環境から鍵を隔離しますが、正しいバックアップと、端末表示での取引確認が欠かせません。
• 操作専用ウォレット： 残高を抑えたウォレットを未知のアプリに使うことで、不正な承認や署名による被害範囲を限定できます。

SECのカストディに関するガイダンスは、自己管理では鍵の管理責任が所有者に移り、第三者カストディでは支配権、事業者の破綻、資産の混在、保険、復旧などの問題が生じると説明しています。単純な「安全か危険か」ではなく、種類の異なるリスクとして扱ってください。

新しいウォレットを買う前に本人確認層を守る#

復旧用メールは、取引所のパスワードより重要な場合があります。攻撃者がメールを支配すると、認証情報の再設定、端末の承認、警告の隠蔽、サポートとのやり取りの操作が可能になります。

パスワードマネージャーで金融サービスごとに固有のパスワードを生成してください。主要メールには、そのサービスが対応する最も強いMFAを設定します。FIDOセキュリティキーやパスキーを優先してください。CISAとNISTはFIDO/WebAuthn方式をフィッシング耐性があると説明しています。一方、SMSコードは傍受や転送の可能性があり、認証アプリのワンタイムコードも偽サイトに入力してしまう恐れがあります。

復旧コードはオフラインで保管し、古い電話や端末を削除し、利用可能なら携帯電話会社のPINを設定して、アクティブなセッションを確認します。保護されていないSMSが復旧手段として残っていれば、認証アプリを有効にしても十分ではありません。

シードフレーズをオンラインの攻撃対象から外す#

シードフレーズは、ウォレットを復元するための最上位の秘密情報です。これを入手した人は、通常の端末、PIN、生体認証を使わずにウォレットを再構築できます。

クラウドメモ、メール、スクリーンショット、チャット、サポートフォーム、暗号化されていない文書には保存しないでください。誰にも見られない環境で単語を正しい順序で記録し、ウォレット提供元が案内するバックアップ手順に従います。第三者による閲覧、盗難、火災、水害、誤廃棄からバックアップを守ってください。

ハードウェアウォレットが隔離効果を発揮するのは、信頼できる端末画面で実際のアドレスと取引内容を確認した場合に限られます。マルウェアはPC画面の表示を改ざんできます。シードフレーズが漏れた場合、ローカルのウォレットパスワードを変更しても解決しません。信頼できる環境で新しいフレーズからウォレットを作り、残っている資産を移し、古いフレーズから派生したすべてのアカウントの使用を中止します。

ボタン名ではなく付与する権限を読む#

署名前に、次の5項目を確認してください。

1. 資産： ティッカーだけでなく、コントラクトまたは資産そのものを確認する。
2. ネットワーク： 送信側と受信側が、同じ対応ネットワークを使用していることを確認する。
3. 送金先： 完全なアドレスを、信頼できる情報源と照合する。
4. 金額： 数量、小数点桁数、ネットワーク手数料を確認する。
5. 権限： 資産移動、支出承認、所有権変更、単なる管理権限の証明のどれに当たるかを判断する。

初めて使う経路では少額のテスト送金を行います。ただし本送金でも完全なアドレスを改めて確認してください。取引履歴だけから送金先をコピーしてはいけません。アドレスポイズニングにより、よく似たアドレスが履歴に紛れ込むことがあります。

スマートコントラクトの承認を管理する#

ウォレットの接続では通常、公開アドレスが相手に見えます。署名すると権限が発生します。そのため確認すべきなのは「このサイトは本物か」だけではなく、「サイトを離れた後、このコントラクトに何ができるか」です。

操作専用ウォレットを使い、画面上で選べる場合は必要額だけを承認し、信頼できるブロックエクスプローラーや実績ある承認チェッカーで古いアローワンスを取り消してください。サイトとの接続を解除しても、オンチェーンのアローワンスは消えません。また、承認の取り消しは完了済みの送金を元に戻すものでも、漏えいしたシードフレーズを修復するものでもありません。

カストディリスクを無視せず取引所アカウントを強化する#

対応している場合は、フィッシング耐性のあるMFA、出金先許可リスト、ログイン通知、セキュリティ設定変更時の待機期間、アンチフィッシングコードを有効にします。APIキーは権限とIPで制限し、取引専用キーの出金権限は無効にしてください。端末とセッションも定期的に確認します。

メッセージや広告のリンクではなく、保存したブックマークからアクセスしてください。正規のサポート担当者が、パスワード、MFAコード、シードフレーズ、遠隔操作を要求することはありません。保管事業者を選ぶ前に、どの法人がサービスを提供するのか、出金停止時に何が起こるのか、資産がどのように保管されるのか、保険が実際に何を補償するのかを確認します。

その場しのぎではなく対応計画を使う#

ウォレットアドレス、トランザクションハッシュ、資産の種類、金額、日付、メッセージ、URL、受付番号を保存します。FBIのIC3は、被害者に取引情報を含めるよう求め、有料の「回収業者」が二次詐欺である可能性にも注意を促しています。

毎月セキュリティを見直す#

毎月、ログイン履歴、ウォレット活動、トークン承認、ブラウザ拡張機能、端末の更新、APIキーを確認します。四半期ごとに、各取引所、ウォレット、シードフレーズ、端末にどれだけの価値が露出しているかを見直してください。通知をテストし、オフラインの復旧情報を確認し、書面化したインシデント対応計画を更新します。

見慣れないWebサイトや普段使いのPCにフレーズを入力して、バックアップをテストしてはいけません。メーカーが案内する確認または復旧手順に従ってください。

よくある質問#

取引所にはどの程度の暗号資産を置くべきですか？

すべての人に共通する割合はありません。取引所で行う目的に必要な分だけを置き、そのカストディ領域で一時的にアクセス不能になっても許容できる額に抑えてください。

ハードウェアウォレットは完全に安全ですか？

いいえ。鍵の露出は減らせますが、シードフレーズの開示、不正な署名、誤ったアドレスへの送金、すべてのバックアップの破損までは防げません。

2FAで自己管理ウォレットを守れますか？

メールやカストディ型アカウントは守れますが、通常はシードフレーズや秘密鍵を持つ人がこれらのサービスを介さずにウォレットを操作できます。

不審な署名をした後はどうすればよいですか？

付与した権限を特定し、関連するアローワンスを取り消し、最近の活動を確認してください。署名環境やシードフレーズまで侵害された可能性がある場合は、残りの資産を移します。

情報源#

• SEC Investor Bulletin: Crypto Asset Custody Basics
• CISA Mobile Communications Best Practice Guidance
• Ethereum.org: Security and Scam Prevention
• FBI IC3 Guidance for Cryptocurrency Scam Victims

リスクに関する注意： 本ガイドはセキュリティ教育を目的とし、法律、投資、資産回収に関する助言ではありません。ブロックチェーン取引は取り消せない場合があり、対策はウォレット、ネットワーク、プラットフォーム、法域によって異なります。