Binanceアカウントのセキュリティを向上させる5つの方法

重要ポイントBinance APIを介して取引する際にRSA鍵ペアを使用すると、より単純なHMACベースの署名と比較してリクエストの偽造が格段に難しくなります。
APIキーでIPアドレスのホワイトリストを設定することは、認識されていないIPからのアクセス試行が自動的にブロックされることを意味します。
フィッシング対策コードを設定すると、Binanceを装ったメールやSMSが本物かどうかを瞬時に確認できます。
認証アプリまたはハードウェアセキュリティキーを使用して二要素認証（2FA）を有効にすると、パスワードが漏洩してもアカウントを保護できます。
出金先アドレスのホワイトリスティングと、強く一意のパスワードおよび信頼できるパスワードマネージャーを組み合わせることで、保護の層をさらに厚くできます。
はじめにデジタル資産の価値や普及が進むにつれて、より高度なセキュリティ脅威も増えてきました。Binanceアカウントを守るには、強力なパスワードだけでは不十分です。プラットフォームには、さまざまな標準搭載のセキュリティツールがあり、それらを組み合わせて使用することで、不正アクセス、APIの悪用、フィッシング攻撃への露出を大幅に減らせます。
この記事では、API認証からメール確認まで、Binanceアカウントのセキュリティを高めるために実行できる5つの具体的な対策を紹介します。
Binanceアカウントを安全に保つための5つのセキュリティ対策1. API取引にはRSAキーペアを使用するBinanceのAPIをプログラムで利用して取引する場合、適切な署名方式を選ぶことは重要なセキュリティ判断です。RSA（Rivest-Shamir-Adleman）のキーペアは、数学的に結びついた2つの鍵から成ります。公開鍵と秘密鍵です。公開鍵をBinanceに登録し、あなたのシステムが各APIリクエストに秘密鍵で署名します。その後Binanceが公開鍵を使って署名を検証します。この方法は、秘密鍵の保有者だけが有効な署名を生成できるため、偽造に対して非常に耐性があります。仕組みの詳細な解説は「RSA署名の説明」をご覧ください。
RSAは、同じ秘密鍵を署名と検証の両方に使用するHMACベースの認証より、API署名においてより安全だと考えられています。RSAでは、あなたの秘密鍵は決してシステムの外に出る必要がありません。APIキーの種類とそれらが持つセキュリティ上の影響の全体像については、「APIキーとセキュリティタイプ」をご覧ください。
RSAキーペアを生成し、Binanceアカウント設定のAPI管理セクションから登録できます。
2. IPアクセス制限を設定するAPIキーでIPアドレスのホワイトリスティングを行うと、アクセスが制限され、承認済みIPアドレスからのリクエストのみが受け入れられます。ホワイトリストにないIPアドレスからのAPI呼び出しは、リクエストが正しく署名されているかどうかにかかわらず自動的にブロックされます。
これは、APIキーが固定サーバーや既知の複数のマシンから動作するような自動取引のセットアップにとって特に価値のある管理手段です。仮にAPIキーの認証情報が何らかの形で漏えいしたとしても、別のIPアドレスから操作する攻撃者はそれを使えません。
IPアクセス制限は、BinanceアカウントのAPI管理設定から構成できます。出金権限を持つキーだけでなく、作成するすべてのAPIキーに対してIPホワイトリスティングを適用することをおすすめします。
3. フィッシング対策コードを設定するBinanceユーザーを狙うフィッシング攻撃では、公式な連絡を非常によく模倣した偽のメールやSMSメッセージが使われることがよくあります。場合によっては、あなたの名前やアカウント情報が含まれていることもあります。フィッシング対策コードは、本物のBinanceメッセージと偽物を見分けるのに役立つ機能です。フィッシング攻撃が一般的にどのように機能するかの背景については、アカデミーが専用の解説を用意しています。
有効にすると、Binanceからのすべての公式メールとSMSに、あなたが設定した固有のコードが含まれるようになります。メッセージにコードが含まれていない、または別のコードが含まれている場合は、見た目がどれほど説得力があっても詐欺として扱えます。
設定方法Binanceアカウントにログインし、「セキュリティ設定」に移動します。
「フィッシング対策コード」を選択します。
文字と数字の組み合わせで固有のコードを作成します。名前、誕生日、単純な並びなど、わかりやすいものは避けてください。
あなたの2FA方式で確認してください。
コードは、Binanceからのその後のすべての公式な連絡にすぐに表示されます。もしコードが漏えいした可能性がある場合は、同じ設定ページからいつでも更新できます。
4. 強力な二要素認証（2FA）を有効にする二要素認証は、ログイン時や機密性の高い操作の承認時に、パスワードのほかに必須の2段階目を追加します。たとえ攻撃者があなたのパスワードを入手したとしても、前進するにはあなたの2つ目の要素が必要です。同じ2FAでも、すべてが同じレベルの保護を提供するわけではありません。
認証アプリ（推奨）Google Authenticator や Binance Authenticator のような認証アプリは、携帯電話会社の回線を経由することなく、端末上で時間ベースのワンタイムコードを直接生成します。これにより、詐欺師が通信事業者に働きかけてあなたの電話番号を、相手が管理するSIMに移し替えさせる「SIMスワップ攻撃」に対して無力になります。認証アプリは、Binanceアカウントに推奨される最低基準です。
SMSベースの2FASMSコードは2FAがない場合より優れていますが、SIMスワップのリスクがあります。現在SMSベースの2FAを使用している場合は、認証アプリへの切り替えがシンプルで、行う価値のあるアップグレードです。
ハードウェアセキュリティキー（YubiKey）YubiKeyのようなハードウェアセキュリティキーは、ログインを認証するために実物が必要な物理デバイスです。USBで端末に接続するか、NFCで接続します。遠隔からは傍受できないため、利用可能な2FAの中でも最も効果的な手段の1つです。たとえ攻撃者があなたのユーザー名、パスワード、電話番号を持っていても、キーへの物理アクセスがなければログインできません。物理的なセキュリティデバイスの詳細については、ハードウェアウォレットを安全に使うための10のヒントをご覧ください。ハードウェアによる保護に関する関連原則がまとめられています。
5. 出金ホワイトリスティングと強力なパスワードを使う出金先アドレスのホワイトリスティング出金先アドレスのホワイトリスティングにより、Binanceアカウントから資金を受け取ることが許可されるウォレットアドレスを指定できます。ホワイトリストにないアドレスへの出金依頼は自動的にブロックされます。つまり、最悪のケースで攻撃者があなたのアカウントにアクセスできたとしても、すでにホワイトリストに登録されていない限り、攻撃者が管理するアドレスへ資金を送ることはできません。
新しいアドレスをホワイトリストに追加すると、Binanceはそのアドレスが有効になるまで24〜48時間の待機期間を設けます。この遅延により、資金が移動される前に、不正な変更を見つけて取り消すための時間が確保されます。
パスワード衛生一意のパスワードを使う：Binanceのパスワードは他のどのサービスにも使用しないでください。パスワードを使い回すと、あるプラットフォームが侵害された場合に、同じ認証情報を使っている他のすべてのサービスも危険にさらされます。
複雑にする：大文字と小文字、数字、特殊文字を組み合わせます。少なくとも12文字を目標にしてください。
パスワードマネージャーを使う：信頼できるパスワードマネージャーは強力で一意のパスワードを生成し保存するため、覚える必要がありません。また、どこでも別のパスワードを簡単に使えるようになります。
共有しない：正当なBinanceのサポート担当者が、あなたのパスワードを求めることは決してありません。パスワードの要求はすべて危険信号として扱ってください。
侵害されたら変更する：現在のセキュリティに関する推奨では、固定のスケジュールではなく、漏えいの可能性があると考える理由がある場合にパスワードを変更することが勧められています。毎月のような定期的で予測可能な変更は、実際のセキュリティ上の利点が小さい、軽微な段階的変更につながりがちです。
FAQBinanceのAPIキーにおけるRSAとHMACの違いは何ですか？RSAとHMACはいずれも、APIリクエストがあなたから送られたことを証明するための署名方法です。HMACでは、署名と検証に同じ秘密鍵が使用されるため、Binanceが検証できる形で共有する必要があります。RSAでは、プライベートキーはあなた自身のシステムの外に出さず、Binanceに共有するのは公開鍵のみです。RSAは署名鍵が自分のシステムから出る必要がないため、一般的により安全だと考えられます。
BinanceアカウントでIPホワイトリスト設定はどこで確認できますか？APIキーのIPホワイトリストは、Binanceアカウントの設定にあるAPI Managementで確認できます。APIキーを作成または編集する際に、承認済みのIPアドレスを追加できます。なお、これはAPIキーごとに適用されるため、高権限のものだけでなく、使用するすべてのキーに設定しておく価値があります。
フィッシング対策コードはBinanceからのすべてのメッセージに表示されますか？有効にすると、フィッシング対策コードはBinanceからのすべての公式メールおよびSMSメッセージに含まれます。もしBinanceからのものだと主張しているのにコードが含まれていない、または間違ったコードが含まれているメッセージを受け取った場合は、それをフィッシングの試みとみなし、リンクをクリックしたり情報を提供したりしないでください。
Binanceの2FAにおいてYubiKeyは認証アプリより優れていますか？YubiKeyのようなハードウェアセキュリティキーは、一般的に認証アプリよりも安全だと考えられています。物理的な存在が必要で、遠隔から傍受できないためです。ただし認証アプリは、SMSベースの2FAに比べて大きく改善されており、現実的で広く利用可能な選択肢です。最適な判断は、あなたの脅威モデルと、どのようにアカウントにアクセスしているかによって変わります。どちらも、SMSベースの2FAより大幅に優れています。
ホワイトリストにないアドレスへ出金しようとしたらどうなりますか？出金は自動的にブロックされます。新しいアドレスに資金を送るには、まずそのアドレスをホワイトリストに追加する必要があります。これにより、そのアドレスが有効になるまで24〜48時間のセキュリティ遅延が発生します。この遅延は意図的なものです。あなたが行っていない変更であれば、見直して取り消す時間を確保できるようにするためです。
最後にここで取り上げた5つの対策（RSA API署名、IPアクセス制限、フィッシング対策コード、強力な2FA、そしてしっかりしたパスワード運用のもとでの出金ホワイトリスティング）は、併用することで最も効果を発揮します。それぞれが異なる攻撃経路をふさぎます：API認証情報の盗難、不正なリモートアクセス、フィッシング、アカウント乗っ取り、不正な出金。デジタルセキュリティ習慣のより広い土台については、一般的なセキュリティ原則をご覧ください。
脅威は進化し続けるため、セキュリティ設定を定期的に見直して、すべてが意図したとおりに設定されていること、また、古くて弱い設定をそのまま残していないことを確認する価値があります。
さらに読む二要素認証（2FA）とは？
RSA署名の説明：BinanceのAPI通信を安全にする方法
ハードウェアウォレットを安全に使うための10のヒント
フィッシングとは何か？仕組みはどうなっている？
一般的なセキュリティ原則
免責事項：本コンテンツは一般情報および教育目的のために「現状のまま」提供されており、いかなる種類の表明または保証も行いません。これは、金融・法律・その他の専門的助言として解釈されるべきではなく、特定の製品やサービスの購入を推奨する意図もありません。適切な専門家アドバイザーにご自身でご相談ください。なお、第三者の協力者が提供した内容については、その見解は当該第三者協力者のものであり、Binance Academyの見解を必ずしも反映するものではありません。デジタル資産の価格は変動する可能性があります。投資した金額は増減することがあり、投資額をそのまま回収できるとは限りません。投資判断に関する責任はすべてご自身にあります。また、Binance Academyは、あなたが被る可能性のある損失について責任を負いません。詳細は、利用規約、リスクに関する警告およびBinance Academyの利用規約をご覧ください。