取引所アカウントを守るには、使い回さないパスワード、フィッシング耐性の高い2FA、保護されたメール、出金先ホワイトリスト、通知設定を利用します。そのうえで、ログイン中の端末、APIキー、復旧方法を確認してください。攻撃者は取引画面ではなく、メールやサポート経由のアカウント復旧から侵入することがあります。
本当に重要な点#
中央集権型取引所は、利用者の認証後に出金を実行します。そのため安全性は、取引所の制御だけでなく、それをリセットできるメール、電話番号、復旧手段のすべてに左右されます。
画面に表示される情報は仕組み全体の一部にすぎません。見慣れた名称を証拠とせず、関係する利用者、資産、ネットワーク、権限を確認してください。
実践的な設定手順#
- メールアカウントにも強力な2FAを設定します。 取引所へ資産を入れる前に設定し、復旧方法とログイン中の端末も確認してください。
- パスワードマネージャーで生成した固有のパスワードを使います。 公式画面から変更し、設定後に新しいパスワードでログインできることを確認します。
- セキュリティキーを2本登録するか、安全な認証アプリのバックアップを用意します。 予備の認証手段が実際に動作することをテストし、安全な場所へ保管してください。
- 出金先アドレスのホワイトリストとフィッシング対策コードを有効にします。 設定変更時の待機期間や確認方法も調べ、反映されたことを確認してください。
- 使っていないAPIキーを削除し、知らないセッションを無効化します。 権限、IP制限、最終利用日時を確認し、削除後にアクセスできなくなったことも検証します。
結果を左右する間違い#
- 取引所のパスワードをほかのサービスでも使う。 別サービスから漏えいした認証情報で、取引所へ侵入される可能性があります。
- APIキーに出金権限を与える。 自動取引に不要な権限まで付けると、侵害時の被害が大きくなります。
- 古い電話番号を復旧手段として残す。 解約後に番号が再割り当てされると、第三者が復旧に利用するおそれがあります。
- 小さなログイン通知や出金先変更通知を無視する。 本格的な出金の前に、攻撃者がアクセスや設定変更を試している可能性があります。通知内のリンクは使わず、公式アプリから確認してください。
繰り返し使える判断基準#
取引に使わない資金については、自己管理に伴う運用リスクと、取引所で保管するリスクを比較してください。アカウント強化は乗っ取りリスクを下げますが、プラットフォーム障害や支払不能のリスクまではなくしません。
設定完了を確認する証拠#
画面に成功メッセージが表示されたかどうかだけで判断してはいけません。ページを閉じた後でも確認できる証拠を使ってください。
| 確認項目 | 保存する証拠 | 中止条件 |
|---|---|---|
| メールアカウントに固有の強力な2FAを設定する | 秘密情報を除いた、日付入りの設定確認または復旧テスト記録 | 取引所パスワードをほかでも使っている |
| パスワードマネージャーで生成したパスワードを使う | 秘密情報を除いた日付入りの認証済み設定記録 | 出金権限付きAPIキーがある |
| 2本のセキュリティキーまたは安全な認証バックアップを登録する | 秘密情報を除いた、日付入りの設定確認または復旧テスト記録 | 古い電話番号が復旧手段に残っている |
取引ハッシュ、公式の問い合わせ番号、日付入りスクリーンショットがアカウント保護の記録に役立つ場合は保存してください。ただし、シードフレーズ、秘密鍵、認証コードは含めないでください。
よくある質問#
フィッシング対策コードは使うべきですか？
取引所が提供している場合は使ってください。公式メールを見分ける手掛かりになりますが、メール内のリンクが安全であることを保証する機能ではありません。
APIキーは危険ですか？
設定によっては危険です。可能な限り権限と接続元IPアドレスを制限し、利用後は削除してください。
身に覚えのないログインがあったらどうすればよいですか？
可能なら出金をロックし、感染していない端末から認証情報を変更してください。既存セッションを無効化し、取引所の公式サポートへ連絡します。
関連ガイド#
参考資料#
リスクに関する注意： 暗号資産の操作は取り消せない場合があります。シードフレーズ、秘密鍵、パスワード、認証コードは決して共有せず、ドメインとウォレットの確認画面をそれぞれ独立して検証してください。
編集方針
本記事は教育目的で、信頼できる情報源に基づいています。セキュリティ対策、取引所のルール、法的要件は変わるため、重要な操作の前に公式情報を確認してください。
