簡潔な定義
秘密鍵の盗難とは、攻撃者がフィッシング、マルウェア、データ漏えい、ソーシャルエンジニアリング、不適切なバックアップなどを通じて、暗号資産ウォレットの秘密鍵またはシードフレーズを入手し、そのウォレットの名義で取引に署名して資産を移転できるようになることです。
多くのパブリックブロックチェーンでは、秘密鍵を管理できる人が、そのアドレスから有効な取引を送信できます。そのため、秘密鍵の流出は、単なる取引パスワードの漏えいより深刻な問題になり得ます。なお、ブロックチェーン上の取引は一度承認されると、通常は取り消しが困難です。資産を取り戻せるかどうかは、資産の移転先、取引所などの協力、法執行手続き、個別のオンチェーン状況に左右されるため、必ず回復できると考えるべきではありません。
秘密鍵が暗号資産を管理する仕組み
暗号資産ウォレットには、通常、次の2種類の重要な情報があります。
| 概念 | 役割 | 公開してよいか |
|---|---|---|
公開鍵 / アドレス | 資産を受け取るために使う。銀行口座の受取先に近い役割 | アドレスは通常公開可能 |
秘密鍵 / シードフレーズ | 取引に署名し、資産を動かす権限を証明する | 絶対に公開してはいけない |
ユーザーが送金を行うとき、ウォレットは秘密鍵を使って取引にデジタル署名します。ネットワーク上のノードは署名が有効かを検証し、有効であれば取引を受け入れます。攻撃者が秘密鍵やシードフレーズを入手すると、自分の端末にウォレットを復元し、別のアドレスへ資産を移転できる可能性があります。
シードフレーズは通常、12語、18語、または24語の英単語で構成され、秘密鍵の復元または生成に使われます。一般ユーザーにとって、シードフレーズの流出は、秘密鍵の流出とほぼ同じ意味を持ちます。
よくある発生パターン
| 場面 | 典型的な手口 | リスク |
|---|---|---|
フィッシングサイト | 偽のウォレット、取引所、エアドロップページでシードフレーズ入力を求める | ユーザーが自ら秘密情報を送信してしまう |
マルウェア | トロイの木馬、クリップボードの乗っ取り、偽ウォレットアプリ | ローカルファイルや入力内容を盗まれる |
不適切なバックアップ | シードフレーズをスクリーンショット、クラウド、メール、チャットに保存 | クラウドアカウントや端末の侵害で漏えいする |
ソーシャルエンジニアリング | カスタマーサポート、管理者、プロジェクト運営者を装う | 信頼を悪用してシードフレーズを聞き出す |
端末管理の不備 | スマートフォンやPCを他人が長時間操作できる、遠隔操作ソフトが入っている | ウォレットやバックアップ内容を閲覧される可能性がある |
簡単な例
ある初心者トレーダーが「エアドロップを受け取る」というリンクを見つけたとします。ページには「ウォレット所有権の確認」が必要と表示され、12語のシードフレーズの入力を求められます。ユーザーが入力すると、攻撃者はすぐに別の端末でそのウォレットを復元し、送金を開始します。その後、ユーザーがウォレットアプリを削除しても、攻撃者はすでにシードフレーズを知っているため、そのアドレスを引き続き管理できる可能性があります。
この例で問題となるのは、市場価格の変動ではなく、ウォレットの管理権限が移ってしまったことです。一般的な対応としては、そのアドレスの使用を直ちに停止する、まだ移転されていない資産を新しいウォレットへ移す、証拠を保存する、関係するプラットフォームや法執行機関に連絡する、といった対応が考えられます。
カストディアルウォレットとノンカストディアルウォレットとの関係
秘密鍵の盗難リスクは、ウォレットの種類によって形が異なります。
| ウォレットの種類 | 秘密鍵の管理者 | ユーザーの主なリスク |
|---|---|---|
ノンカストディアルウォレット | ユーザー自身が秘密鍵またはシードフレーズを管理 | シードフレーズの漏えい、バックアップ紛失、悪意ある取引への署名 |
カストディアルウォレット | 取引所またはカストディサービスが秘密鍵を管理 | プラットフォーム口座の乗っ取り、プラットフォーム側のセキュリティ事故、出金権限の悪用 |
カストディサービスを利用する場合、ユーザーは通常、秘密鍵に直接触れません。ただし、ログインパスワード、二要素認証、メールアカウント、出金先アドレスの設定は引き続き保護する必要があります。ノンカストディアルウォレットを使う場合、ユーザーはより直接的な管理権限を持つ一方で、自己管理の責任も大きくなります。
防止のポイント
- どのようなウェブサイト、サポート担当者、コミュニティ管理者にも、シードフレーズや秘密鍵を提供しない。正規のウォレット保守、エアドロップ受取、アカウント確認で、完全なシードフレーズの入力を求めることは通常ありません。
- シードフレーズはオフラインでバックアップする。紙に書く、耐久性のある素材に記録するなどし、安全な場所に保管します。スクリーンショット、クラウドストレージ、チャットアプリ、メールでの保存は避けるべきです。
- 公式サイトやアプリの入手元を確認する。ウォレットは公式チャネルからダウンロードし、検索広告、なりすましドメイン、偽アプリに注意します。
- ハードウェアウォレットを使っていても油断しない。ハードウェアウォレットは、秘密鍵がインターネット接続端末に露出する可能性を下げますが、ユーザーがフィッシングページにシードフレーズを入力した場合、そのシードフレーズを守ることはできません。
- 送金前にアドレスと取引内容を確認する。特に、コントラクト承認、無制限承認、見慣れない署名リクエストには注意が必要です。
- ウォレットを用途別に分ける。日常的な操作用ウォレットと、長期保管用ウォレットを分けることで、単一の漏えいによる被害を抑えやすくなります。
- 秘密鍵の漏えいが疑われる場合は、できるだけ早く新しいウォレットへ資産を移す。ウォレットアプリのパスワードを変更するだけでは、すでにシードフレーズを入手した攻撃者を止められないことがあります。
秘密鍵の盗難と他のリスクの違い
| リスク | 秘密鍵の漏えいを必ず伴うか | 説明 |
|---|---|---|
秘密鍵の盗難 | はい | 攻撃者が秘密鍵またはシードフレーズを入手し、直接署名して送金できる |
承認の悪用 | 必ずしも伴わない | ユーザーが悪意あるコントラクト承認に署名し、攻撃者がコントラクト経由で特定のトークンを移転する場合がある |
取引所口座の乗っ取り | 必ずしも伴わない | 攻撃者がオンチェーンの秘密鍵ではなく、ログイン口座を通じて出金する場合がある |
秘密鍵の紛失 | いいえ | ユーザー自身が秘密鍵にアクセスできず、資産を動かせない可能性があるが、他人に盗まれたとは限らない |
初心者が覚えておきたい境界線
秘密鍵の安全性は、投資収益の問題ではなく、資産の管理権限の問題です。ある暗号資産の価格が下落していなくても、秘密鍵が盗まれれば、ウォレット内の資産は移転される可能性があります。一方で、秘密鍵を適切に保管していることは、取引で利益が出ることを意味しません。あくまで、技術的にウォレットの管理権限を守るためのものです。
金額が大きい場合、海外プラットフォームが関係する場合、または不審な取引がある場合は、取引ハッシュ、アドレス、チャット記録、ウェブページのスクリーンショットなどの証拠を保存し、専門のセキュリティ担当者、取引プラットフォームのサポート、または地域の法執行機関への相談を検討してください。
関連用語
- 秘密鍵：取引に署名するための秘密データで、暗号資産ウォレットを管理する中核的な認証情報。
- シードフレーズ：ウォレットを復元するための単語の組み合わせで、通常は秘密鍵を生成できます。
- 公開鍵 / ウォレットアドレス：資産を受け取るための公開識別子。
- ハードウェアウォレット：秘密鍵を専用デバイス内に保管するウォレットの形態。
- フィッシング攻撃：偽のウェブサイト、メール、メッセージを使い、ユーザーから機密情報を引き出す攻撃。
- コントラクト承認：ユーザーがスマートコントラクトに対し、特定のトークンを動かす権限を与えるオンチェーン設定。
