暗号資産を守るには、まずこのポイントを押さえましょう。保存推奨。
1）ハードウェア
- 購入するのは公式サイトか正規販売店だけに。転売業者など怪しいルートは避ける
- 開封してシードカードにすでに文字が書かれていたら詐欺です。セットごと処分し、使わないこと
- 荷物はできるだけ宅配ロッカーや営業所で受け取り、自宅の住所は書かない
- ファームウェアの更新は公式アプリからのみ行う
2）シードフレーズ
- 可能なら金属プレートに刻む。紙に書くだけにしない。写真を撮らず、クラウドに保存せず、メモアプリにも入れない
- シードフレーズを入力するのは、ハードウェアウォレットの公式復元手順の中だけ。ウェブサイトやソフトウェアウォレットには絶対に入力しない
- シードを自己流で分割しない。不安定なうえ、漏えいもしやすい。本当に分割する必要があるなら、公式対応のShamirを使うか、マルチシグにする
- バックアップを書き終えたら、まず自分でテストする。内蔵の検証機能を使うか、公式手順に従ってデバイスを初期化し、復元を一度行う。テストしていないなら、バックアップしたことにならない
- 2つ作り、別々の場所に保管する。家が火事になってバックアップを失えば、資産も失うことになる
3）アカウントの使い分け
- 多額の資産は、DAppに一度も接続しないコールドウォレットに保管する
- 日常用には別のホットウォレットを作る。新しいプロジェクトを試すときは小額専用のウォレットを使い、使い終わったらそのまま使わない
- 保有額が大きくなったらpassphraseを追加する。同じシードを使い、パスフレーズなしでは資産の一部だけが見え、パスフレーズを加えると本当の大口資産にアクセスできる
- passphraseもバックアップし、シードフレーズとは別の場所に保管する。パスフレーズを失うと、暗号資産も取り戻せない
- 金額が大きければマルチシグを使い、すべての資産を一か所に集中させない
4）署名（ここで失敗する人が最も多い）
- 取引内容を確認するときは、ハードウェアウォレットの画面表示を基準にする。パソコンのウェブ画面だけを見ないこと。Bybitの件では、ウェブ画面が改ざんされ、約15億ドルの損失が発生した
- 内容が理解できなければ署名しない
- 「ガス代無料」の承認でも、あなたの暗号資産を移動させることができる
- 悪意のあるEIP-7702の承認ひとつで、アカウントの完全な操作権を渡してしまう可能性がある
- Solanaでは、誤った取引に署名すると、トークンアカウントの権限まで変更されることがある。署名前にシミュレーションツールで、その取引が何をするのか確認する
- 毎月一度、承認済みの権限を確認し、使っていないものは取り消す
5）送金
- 取引履歴からアドレスをコピーしない。詐欺師が見た目のよく似た偽アドレスを紛れ込ませることがある
- デバイス上でアドレス全体を確認する。最初と最後の数文字だけを見ない
- 大口送金の前に、まず少額を送ってテストする
6）パソコン
- できれば暗号資産専用のパソコンを用意する。ブラウザーはクリーンな状態に保ち、拡張機能は必要最小限にする
- ウォレットは公式サイトからのみダウンロードする。アプリストアや検索結果には偽物が多い
- 見知らぬ人から送られてきた会議ソフト、ゲームのインストーラー、不明なファイルは、安易に開いたり実行したりしない
- 画面を共有せず、リモート操作ツールもインストールしない。「サポート」がAnyDeskのインストールを求めてきたら、ほぼ詐欺
- よく使うサイトは自分でブックマークする。検索広告は絶対にクリックしない
- 身に覚えのないエアドロップやNFTは、まず罠だと思う
7）取引所
- サイトごとに異なる強力なパスワードを設定し、パスワードマネージャーで管理する
- 二要素認証には認証アプリかPasskeyを使い、SMSは使わない
- バックアップコードはオフラインで保管し、メールやクラウドには置かない
- 携帯電話のSIMカードに通信事業者のPINを設定する。第三者があなたの電話番号を不正利用して認証コードを乗っ取る事例は今も起きている
- 暗号資産専用のメールアドレスを使い、本人と簡単に結びつけられないようにする
- 出金先アドレスのホワイトリストを有効にする
- しばらく取引しない暗号資産は、取引所に長期間置かない。取引所に置いている間、出金の権限はあなたの手元にない
8）身の安全とプライバシー
- 保有額や資産構成を公開しない。自宅に押し入って強盗するような事件が増えている
- サポート担当者が先にDMを送ってくることはない
- フィッシングメールは無視し、公式チャネルだけを利用する
- 相続について事前に考えておく。本人が亡くなり、鍵も失われれば、暗号資産も失われる
9）量子（今すぐの脅威ではないが、知っておくとよい）
- 現時点では現実的な脅威ではない。「量子の時代が来た」と脅して商品を売り込む人は、たいてい何かを売りたいだけ
- BTC：アドレスを繰り返し使わない。そのアドレスから一度でも送金すると、公開鍵が露出する
- BTC：長期保有分は、できるだけ「一度も送金に使っていない」アドレスに保管する。Taproot（bc1p）など一部の古いアドレス形式では、公開鍵が最初から公開されている
- BTC：耐量子アドレスを実現するBIP-360が開発中だが、まだ公開されていない。移行されていないコインを凍結する案も提案されている
- ETH / ERC20：取引の送信やメッセージへの署名で公開鍵が露出する可能性がある。大口資産はクリーンなウォレットに保管する
- SOL：アドレスそのものが公開鍵なので、最初から公開されている。実験的な対策はあるが、一般的なウォレットではまだ利用できない
ハードウェアが本当にハッキングされることはまれで、たいていは人が自分で落とし穴にはまる。
1）ハードウェア
- 購入するのは公式サイトか正規販売店だけに。転売業者など怪しいルートは避ける
- 開封してシードカードにすでに文字が書かれていたら詐欺です。セットごと処分し、使わないこと
- 荷物はできるだけ宅配ロッカーや営業所で受け取り、自宅の住所は書かない
- ファームウェアの更新は公式アプリからのみ行う
2）シードフレーズ
- 可能なら金属プレートに刻む。紙に書くだけにしない。写真を撮らず、クラウドに保存せず、メモアプリにも入れない
- シードフレーズを入力するのは、ハードウェアウォレットの公式復元手順の中だけ。ウェブサイトやソフトウェアウォレットには絶対に入力しない
- シードを自己流で分割しない。不安定なうえ、漏えいもしやすい。本当に分割する必要があるなら、公式対応のShamirを使うか、マルチシグにする
- バックアップを書き終えたら、まず自分でテストする。内蔵の検証機能を使うか、公式手順に従ってデバイスを初期化し、復元を一度行う。テストしていないなら、バックアップしたことにならない
- 2つ作り、別々の場所に保管する。家が火事になってバックアップを失えば、資産も失うことになる
3）アカウントの使い分け
- 多額の資産は、DAppに一度も接続しないコールドウォレットに保管する
- 日常用には別のホットウォレットを作る。新しいプロジェクトを試すときは小額専用のウォレットを使い、使い終わったらそのまま使わない
- 保有額が大きくなったらpassphraseを追加する。同じシードを使い、パスフレーズなしでは資産の一部だけが見え、パスフレーズを加えると本当の大口資産にアクセスできる
- passphraseもバックアップし、シードフレーズとは別の場所に保管する。パスフレーズを失うと、暗号資産も取り戻せない
- 金額が大きければマルチシグを使い、すべての資産を一か所に集中させない
4）署名（ここで失敗する人が最も多い）
- 取引内容を確認するときは、ハードウェアウォレットの画面表示を基準にする。パソコンのウェブ画面だけを見ないこと。Bybitの件では、ウェブ画面が改ざんされ、約15億ドルの損失が発生した
- 内容が理解できなければ署名しない
- 「ガス代無料」の承認でも、あなたの暗号資産を移動させることができる
- 悪意のあるEIP-7702の承認ひとつで、アカウントの完全な操作権を渡してしまう可能性がある
- Solanaでは、誤った取引に署名すると、トークンアカウントの権限まで変更されることがある。署名前にシミュレーションツールで、その取引が何をするのか確認する
- 毎月一度、承認済みの権限を確認し、使っていないものは取り消す
5）送金
- 取引履歴からアドレスをコピーしない。詐欺師が見た目のよく似た偽アドレスを紛れ込ませることがある
- デバイス上でアドレス全体を確認する。最初と最後の数文字だけを見ない
- 大口送金の前に、まず少額を送ってテストする
6）パソコン
- できれば暗号資産専用のパソコンを用意する。ブラウザーはクリーンな状態に保ち、拡張機能は必要最小限にする
- ウォレットは公式サイトからのみダウンロードする。アプリストアや検索結果には偽物が多い
- 見知らぬ人から送られてきた会議ソフト、ゲームのインストーラー、不明なファイルは、安易に開いたり実行したりしない
- 画面を共有せず、リモート操作ツールもインストールしない。「サポート」がAnyDeskのインストールを求めてきたら、ほぼ詐欺
- よく使うサイトは自分でブックマークする。検索広告は絶対にクリックしない
- 身に覚えのないエアドロップやNFTは、まず罠だと思う
7）取引所
- サイトごとに異なる強力なパスワードを設定し、パスワードマネージャーで管理する
- 二要素認証には認証アプリかPasskeyを使い、SMSは使わない
- バックアップコードはオフラインで保管し、メールやクラウドには置かない
- 携帯電話のSIMカードに通信事業者のPINを設定する。第三者があなたの電話番号を不正利用して認証コードを乗っ取る事例は今も起きている
- 暗号資産専用のメールアドレスを使い、本人と簡単に結びつけられないようにする
- 出金先アドレスのホワイトリストを有効にする
- しばらく取引しない暗号資産は、取引所に長期間置かない。取引所に置いている間、出金の権限はあなたの手元にない
8）身の安全とプライバシー
- 保有額や資産構成を公開しない。自宅に押し入って強盗するような事件が増えている
- サポート担当者が先にDMを送ってくることはない
- フィッシングメールは無視し、公式チャネルだけを利用する
- 相続について事前に考えておく。本人が亡くなり、鍵も失われれば、暗号資産も失われる
9）量子（今すぐの脅威ではないが、知っておくとよい）
- 現時点では現実的な脅威ではない。「量子の時代が来た」と脅して商品を売り込む人は、たいてい何かを売りたいだけ
- BTC：アドレスを繰り返し使わない。そのアドレスから一度でも送金すると、公開鍵が露出する
- BTC：長期保有分は、できるだけ「一度も送金に使っていない」アドレスに保管する。Taproot（bc1p）など一部の古いアドレス形式では、公開鍵が最初から公開されている
- BTC：耐量子アドレスを実現するBIP-360が開発中だが、まだ公開されていない。移行されていないコインを凍結する案も提案されている
- ETH / ERC20：取引の送信やメッセージへの署名で公開鍵が露出する可能性がある。大口資産はクリーンなウォレットに保管する
- SOL：アドレスそのものが公開鍵なので、最初から公開されている。実験的な対策はあるが、一般的なウォレットではまだ利用できない
ハードウェアが本当にハッキングされることはまれで、たいていは人が自分で落とし穴にはまる。