シードフレーズの安全管理：暗号資産の復元用単語を守る方法

シードフレーズとは

シードフレーズ（リカバリーフレーズ、ニーモニックとも呼ばれます）は、ウォレットを最初に設定したときに作られる、ごく普通の単語のリストです。多くのウォレットはBIP-39という標準規格に従っており、2,048語の決まった単語リストから単語を選びます。フレーズの長さは通常12語か24語ですが、規格上は15語、18語、21語も認められています。

これらの単語は、ウォレットがすべての秘密鍵とアドレスを生成する元になる秘密の情報を表しています。だからこそ、同じフレーズを互換性のある別のウォレットに入力すると、同じ資金が表示されるのです。シードフレーズはアプリのパスワードではありません。実質的には、ウォレットそのものです。

単語を持つ人が資金を持つ

ブロックチェーンは、あなたが誰なのかを知りません。確認するのは、取引が正しい鍵で署名されているかどうかだけです。つまり、あなたのシードフレーズを持っている人なら誰でも、どこからでも、いつでも取引に署名してコインを動かせます。取り消してくれる銀行も、凍結してくれる窓口もありません。

逆もまた然りです。フレーズをなくし、端末も壊れてしまえば、資金は永遠に失われます。ウォレットの提供元はコピーを持っていないので、リセットすることもできません。フレーズを守るとは、盗難と紛失という2つの危険に同時に備えることなのです。

安全な保管方法

• 紙に手書きで正しい順番どおりに書き写し、すべての単語を画面と照らし合わせて確認しましょう。
• 写真やスクリーンショットを撮ったり、メモアプリ、メール、クラウドストレージ、チャットに保存したりしてはいけません。インターネットにつながっているものは、どれもハッキングされる可能性があります。
• 紙は燃えたり、色あせたり、濡れたりするので、長期保管には金属製のバックアップも検討しましょう。
• 少なくとも2つのコピーを別々の安全な場所に保管し、1回の火災、水害、盗難で両方を失わないようにしましょう。
• 残高が少ないうちにバックアップをテストしましょう。大きな金額を送る前に、書き留めた単語からウォレットを復元してみてください。

パスフレーズと相続への備え

多くのウォレットは、任意のパスフレーズ（25番目の単語と呼ばれることもあります）に対応しています。シードフレーズと組み合わせるとまったく別のウォレットが開くため、書き留めた単語だけを見つけた人はその資金にたどり着けません。注意点は、パスフレーズが間違っていてもエラーが出ないことです。どんなパスフレーズでも有効な（通常は空の）ウォレットが開くため、正確な綴りを忘れると資金は失われます。パスフレーズはシードフレーズとは別の場所に保管し、同じくらい慎重にバックアップしてください。

自分がいなくなった場合のことも考えておきましょう。何の準備もなければ、家族はウォレットを見つけることも、その仕組みを理解することもできないかもしれません。シンプルな方法としては、どのウォレットを持っていて、バックアップがどこにあるかを説明した封書を、遺言書と一緒に、または信頼できる弁護士に預けておくことです。遺言や相続に関するルールは国によって異なるため、正式な手続きについては現地の専門家に相談してください。

ウェブサイトには絶対に入力しない

本物のウォレットがシードフレーズを求めるのは、ウォレットのアプリや端末そのものの中で復元するときだけです。ウェブサイト、サポート担当者、エアドロップ、ウォレット認証ページ、ブラウザのポップアップがそれを必要とすることはありません。詐欺師は、まさにこの単語を集めるために、偽のウォレットサイト、偽のアップデート画面、偽のサポートチャットを作ります。中には、フレーズがあらかじめ印刷された改ざん済みのハードウェアウォレットを郵送し、詐欺師が管理するウォレットに被害者が入金するよう仕向ける手口もあります。

ルールはシンプルです。シードフレーズを尋ねてくる人は、あなたから盗もうとしています。新しいフレーズは必ず自分のウォレットに生成させ、他人から渡されたフレーズは決して使わないでください。

二段階認証で取引所アカウントを守る

取引所に預けたコインを守っているのは、シードフレーズではなくアカウントのログインです。パスワードに加えて2つ目の証明を求める二段階認証（2FA）を有効にしましょう。

• 認証アプリは、数秒ごとに変わる短いコードをスマートフォン上で生成します。SMSよりはるかに安全です。
• FIDO2規格に対応したハードウェアセキュリティキーやパスキーは、一般的な選択肢の中で最も強力です。本物のウェブサイトのアドレスを確認するため、フィッシングに強いからです。
• SMSコードは最も弱い選択肢です。攻撃者がSIMスワップ詐欺で電話番号を乗っ取れる場合があるためです。ほかに選択肢がない場合にのみ使いましょう。

取引所ごと、そしてメールアカウントにも、長く使い回しのないパスワードを設定し、2FAのバックアップコードはオフラインで保管しましょう。