ビットコインを安全に保管する：秘密鍵、シードフレーズ、コールドウォレット

2013年、ウェールズに住むITエンジニアが自宅を片付けていて、古いハードドライブをごみ袋に入れました。後になって彼は、そのドライブに、初期にマイニングした約8,000 BTCの秘密鍵が入っていたことに気づきます。それから10年以上にわたり、彼は地元の自治体に埋立地の発掘を許可するよう求め、次々と計画を示し、ついには自治体を相手取って訴訟まで起こしましたが、いずれも実りませんでした。2025年、彼は埋立地の発掘を断念すると表明しました。

2017年、あるアメリカのテクノロジー系ライターは、ハードウェアウォレットにビットコインを保管し、そのPINを紙切れに書き留めていました。旅行で家を空けている間に、その紙は捨てられてしまいます。帰宅した彼はPINを思い出せず、しかも推測を誤るたびに、次に入力できるまでの待ち時間が倍に延びていきました。数か月もの間、彼は約3万ドル相当のビットコインが開けられない錠の向こうにあるのを、ただ眺めているしかありませんでした。最終的には、公開されていたデバイスの脆弱性を利用し、10代のプログラマーに遠隔で手ほどきを受けて、ようやくPINを取り戻しました。彼は運がよかったのです。ほとんどの人には、そうした機会は訪れません。

こうした話は珍しくありません。2020年、ブロックチェーン分析企業のChainalysisは、約370万BTC、つまり当時存在していたビットコイン全体のおよそ5分の1が、おそらく永久に失われていると推計しました。

ビットコインには「パスワードを忘れた場合」のボタンも、何かをリセットしてくれるサポートチームもありません。だからこそ、購入する前にも、保有している間にも、20分ほどかけて保管方法を考えておく価値があるのです。

まず知っておきたい4つの言葉

最も重要なのは、ビットコインはウォレットの中にあるわけではない、という点です。ビットコインは常にブロックチェーン上に記録されています。ウォレットが保管しているのは、それを動かす権利があることを証明する鍵です。

ここが腑に落ちると、多くのことがすっきりと理解できます。スマートフォンをなくしたり壊したりしても、ビットコインが消えるわけではありません。シードフレーズさえ手元にあれば、新しいデバイスでウォレットを復元できます。しかし、デバイスを失い、しかもシードフレーズのバックアップを一度も取っていなかったなら、そのビットコインは二度と取り戻せません。あなたに代わって写しを保管している機関は、どこにも存在しないからです。

プラットフォームに預けるか、自分で持つか

ビットコインの保有方法は、大きく2つに分けられます。

ひとつはカストディです。ビットコインを取引プラットフォームやカストディアンに預け、秘密鍵を代わりに管理してもらいます。プラットフォーム上に表示されるのは自分のアカウントの残高で、それに対してどのような権利を持つかは、プラットフォームの利用規約と現地の法律によって決まります。

もうひとつはセルフカストディです。秘密鍵を自分で保有し、所有しているのは実際のオンチェーン資産そのものになります。

私たちはどちらか一方を推奨するものではありません。ただし、セルフカストディだからといって自動的に安全になるわけではない、という点ははっきりさせておく価値があります。セルフカストディは、本来なら機関が負うはずのリスクをあなた自身に移すものです。冒頭の2つの話は、どちらもセルフカストディの話でした。どちらの方法が合っているかは、保有額や経験、普段の習慣によって変わります。

シードフレーズ：最も大切な一枚の紙

この記事でひとつだけ覚えておくなら、この部分にしてください。

長期保管用のウォレットでは、ハードウェアウォレットのようなオフラインのデバイスでシードフレーズを生成し、その場で書き留めてください。出どころのわからないウェブ上の生成ツールは使わないでください。

保管にあたっては、次のルールを守りましょう。

1. シードフレーズは、ウェブサイト、チャット画面、サポートとのやり取りに決して入力しないでください。正当な理由でそれを求める人は誰もいません。
2. スクリーンショット、写真、クラウドストレージ、自分宛てのメッセージは避けてください。スマートフォンの写真ライブラリはクラウドに自動で同期されることが多く、そのアカウントが乗っ取られれば、シードフレーズは公開されたも同然です。
3. 紙に書くか金属プレートに刻印し、オフラインで保管してください。紙は燃えたり、濡れたり、時間とともに色あせたりするため、火や湿気から守られた場所に置きましょう。
4. バックアップは少なくとも2つ作り、別々の場所に保管してください。1部しかなければ、一度の火事や引っ越しで失われかねません。同じ引き出しに何部も入れておくのは、1部しかないのとあまり変わりません。
5. 追加のパスフレーズ（「25番目の単語」と呼ばれることもあります）を設定している場合は、それも確実にバックアップしてください。ハードウェアウォレットのPINも同様です。捨てられてしまうかもしれない紙切れに残しておくのは避けましょう。それがどんな結果を招くかは、冒頭の話が示しているとおりです。

最後に、例外のないルールをひとつ。シードフレーズを尋ねてくる相手は、誰であれ詐欺師です。取引プラットフォームが尋ねることはありません。ウォレットのサポートも尋ねません。公的機関も尋ねません。私たちも尋ねることはありません。

ホットウォレットとコールドウォレット

ホットウォレットは常にインターネットに接続されています。便利で、日常的に使う少額の資金に向いています。コールドウォレットはオフラインのまま使うため、秘密鍵がネットワークに触れることがなく、長期保管に適しています。

両方を使い分ける人も多くいます。日々の支払い用に少額をホットウォレットに入れ、長期で保有する大部分をコールドウォレットに置くのです。全財産をポケットに入れて持ち歩かないのと同じ理由です。

ただし、コールドウォレットにも限界があります。ずさんに保管されたシードフレーズを守ることはできず、言いくるめられて自分で送金に署名してしまうのを防ぐこともできません。また、デバイスがなくなれば、ビットコインを取り戻せるかどうかは、すべてシードフレーズのバックアップにかかっています。完全に安全な方法というものは存在しません。

詐欺の手口

アクセスを失うこと以外に、ビットコインを失う原因としてよくあるのが詐欺です。

2018年の終わりごろから、ある老舗ビットコインウォレットの利用者が奇妙な現象に遭遇するようになりました。送金しようとウォレットを開くと、続行するにはセキュリティ設定を更新する必要があるというメッセージが表示されるのです。見た目は公式の通知とまったく同じでした。多くの人がそれに従っていわゆる新しいバージョンをインストールし、その直後にビットコインを抜き取られました。後に、これらのメッセージは攻撃者が設置したサーバーから送られていたことが判明し、報道によれば、その後の数年間にこの手口で盗まれたビットコインは1,000 BTCを超えます。

この種の詐欺にはさまざまな形がありますが、その発想はおおむね共通しています。

• 偽のサポート：コミュニティのチャンネルやコメント欄、ダイレクトメッセージで誰かが接触してきて、問題を解決すると申し出たうえで、シードフレーズを尋ねたり、あるウェブサイトへ誘導したりします。本物のサポートスタッフが先に連絡してくることはなく、シードフレーズを尋ねることも決してありません。
• 偽のエアドロップやキャンペーン：ウォレットを接続し、内容をよく理解していない承認に署名すれば報酬がもらえると持ちかけられます。署名した途端、資金を抜き取られる可能性があります。
• 偽の更新通知：ウォレットや取引プラットフォームからの更新を装ったメッセージが、シードフレーズの入力を求める偽ページへ誘導したり、マルウェア入りのソフトウェアをインストールさせたりします。
• クリップボードの乗っ取り：パソコンに潜んだマルウェアが、コピーしたアドレスを、貼り付けた瞬間にひそかに攻撃者のアドレスへ差し替えます。
• 偽サイトとアドレスポイズニング：本物と1、2文字しか違わないウェブアドレスに、ほとんど見分けのつかないページを用意する手口。あるいは、よく使うアドレスと先頭と末尾の文字が一致するよう意図的に生成した偽のアドレスを、取引履歴に紛れ込ませる手口です。

どの手口も、その場では無害に見えて、実際には他人に支配権を渡してしまう行動を取らせようとしています。

20分でできるセルフチェック

ここで、次のチェックリストに目を通し、自分の状況を確かめてみてください。

まだビットコインを持っていない人、これから購入しようとしている人：

• プラットフォームに預けるか、自分で保有するかを決め、それぞれに伴うリスクを理解しておきましょう。
• 自分で保有するつもりなら、まずごく少額で一連の手順を試してください。シードフレーズを作成して書き留め、ウォレットを削除し、シードフレーズから復元します。確実に復元できると確かめてから、保管する額を増やしましょう。
• ウォレットのソフトウェアは公式の配布元からのみダウンロードし、ウェブアドレスも確認しましょう。

すでにビットコインを保有している人：

• シードフレーズは今どこにありますか。あなた以外に、それに手が届く人はいますか。
• スマートフォンやパソコン、クラウドストレージに、スクリーンショットや写真、テキストファイルとして残っていませんか。
• バックアップは少なくとも2つあり、別々の場所に保管されていますか。火事や引っ越しにも耐えられますか。
• 追加のパスフレーズやPINを設定している場合、それも確実にバックアップされていますか。
• 明日あなたの身に何かあったとき、信頼できる家族はこの資産の存在を知っていて、必要なときに見つけ出す方法をわかっているでしょうか。

ビットコインを送るたびに：

• 受取アドレスは、先頭と末尾の数文字だけでなく、全体を区切りごとに確認しましょう。
• 金額が大きいときは、まず少額をテスト送金し、着金を確かめてから残りを送りましょう。手数料が一回分余計にかかりますが、アドレスが正しいという確信が得られます。
• 支払いを受け取ったら、送金したという相手の言葉をうのみにせず、ブロックエクスプローラーで自らトランザクションと承認数を確認しましょう。

ビットコインは、誰の言葉にも頼ることなく、誰もが自分で物事を確かめられるように設計されています。ビットコインを安全に保管することも、それと同じです。

この記事に不正確な点を見つけたら、editorialoffice@btc.com までお知らせください。