ウォレットの秘密鍵

ウォレットの秘密鍵とは？

ウォレットの秘密鍵とは、暗号資産ウォレットアドレスと、そのアドレスに紐づく資産をユーザーが管理するための秘密の暗号鍵です。

ウォレットの所有者がトランザクションまたはメッセージを承認したことを証明するデジタル署名の作成に使用されます。

公式のEthereumアカウントのドキュメントでは、秘密鍵はトランザクションの署名に使用され、アカウントに関連付けられた資金の管理権限を与えるものと説明されています。

NISTの秘密鍵に関する用語集では、秘密鍵は所有者に一意に関連付けられ、公開されない暗号鍵と定義されています。

簡単に言えば、ウォレットの秘密鍵は、ウォレットから暗号資産を送付できるようにする秘密情報です。

正しい秘密鍵を持つ人は、通常、そのウォレットからトランザクションに署名できます。

秘密鍵を紛失し、バックアップや復元手段もない場合、その鍵が管理する資産には永久にアクセスできなくなる可能性があります。

そのため、「Not your keys, not your crypto（秘密鍵を持っていなければ、その暗号資産は自分のものではない）」という表現が暗号資産教育で広く使われています。

ウォレットの秘密鍵は、パスワードでも、ウォレットアドレスでも、公開鍵でも、通常のアカウントログイン情報でもありません。

ブロックチェーン上の所有権を管理する中核的な秘密情報です。

ウォレットの秘密鍵が重要な理由

ブロックチェーンでは、誰が資金を動かせるかを判断する際に、通常のユーザー名やパスワードに依存しないため、ウォレットの秘密鍵は重要です。

ブロックチェーンは暗号学的署名に依存します。

ユーザーが暗号資産を送付する際、ウォレットは秘密鍵でトランザクションに署名します。

ブロックチェーンネットワークは、公開鍵またはアドレスに関連するデータと照合して署名を確認します。

署名が有効で、トランザクションがネットワークのルールに従っている場合、トランザクションは承認される可能性があります。

この設計により、ユーザーは銀行、企業、中央管理者にすべての操作の承認を求めることなく資産を管理できます。

一方で、秘密鍵の紛失は取り返しがつかない結果につながる可能性があります。

公式のBitcoinウォレットのセキュリティガイドでは、ウォレットのバックアップがコンピューターの故障や多くの人為的ミスからユーザーを保護できると説明されています。

秘密鍵が強力なのは、資産を直接管理できるからです。

同じ理由で危険でもあります。

適切な暗号資産セキュリティは、秘密鍵で何ができるのかを理解することから始まります。

ウォレットの秘密鍵と公開鍵の違い

秘密鍵と公開鍵は、暗号鍵ペアを構成する2つの要素です。

秘密鍵は必ず秘密に保つ必要があります。

公開鍵はより広く共有できます。

秘密鍵はトランザクションとメッセージに署名します。

公開鍵は、署名が対応する秘密鍵によって作成されたことの検証に役立ちます。

NISTの公開鍵暗号方式に関する用語集では、ユーザーは秘密鍵でデータにデジタル署名でき、その署名は対応する公開鍵を使って検証できると説明されています。

つまり、公開鍵は秘密鍵自体を明かすことなく、その秘密鍵が使用されたことの証明に役立ちます。

通常、公開鍵だけで資金を送付することはできません。

秘密鍵は、資産を保有するアドレスを管理している場合、資金を送付できます。

この2つを混同すると、重大なミスにつながる可能性があります。

ウォレットアドレスは通常共有できますが、ウォレットの秘密鍵は決して共有してはいけません。

ウォレットの秘密鍵とウォレットアドレスの違い

ウォレットの秘密鍵は、ウォレットアドレスと同じものではありません。

ウォレットアドレスは、暗号資産を受け取るためにユーザーが共有する公開された受取識別子です。

秘密鍵は、そのアドレスから送付するトランザクションに署名するための秘密の値です。

Ethereumでは、アドレスは公開鍵から導出され、秘密鍵はトランザクションに署名できるアカウントを管理します。

Bitcoinでは、アドレスは一般に、公開鍵または公開鍵に関連するスクリプトから導出されます。

ほとんどのユーザーは、生の秘密鍵ではなくアドレスを利用します。

これは、アドレスのほうが安全に共有できるようにするための設計です。

ユーザーは寄付用アドレスを公開して資金を受け取れます。

ただし、そのアドレスの秘密鍵を公開してはいけません。

秘密鍵が漏えいすると、それを見た人は誰でも資金を移動できる可能性があります。

実用上のルールはシンプルです。アドレスは受け取りに使い、秘密鍵は送付に使います。

ウォレットの秘密鍵とリカバリーフレーズの違い

ウォレットの秘密鍵は、リカバリーフレーズとも異なります。

リカバリーフレーズは、人間が読み取れるバックアップであり、1つまたは複数の秘密鍵を生成できます。

公式のBIP-39仕様では、決定性ウォレットの生成に使用できるニーモニックコードについて説明されています。

多くの最新ウォレットでは、生の秘密鍵を表示する代わりに、12語、18語、または24語のリカバリーフレーズを使用します。

リカバリーフレーズは、複数のアカウントやアドレスを持つウォレット全体を復元できるため、多くの場合、1つの秘密鍵よりも強力です。

単一の秘密鍵は、1つのアドレスまたはアカウントを管理する場合があります。

リカバリーフレーズは、ウォレットの構造に応じて、多数のアドレスにわたる複数の秘密鍵を再作成できる場合があります。

そのため、リカバリーフレーズも秘密鍵と同じ厳重さで保護する必要があります。

ウェブサイト、サポート担当者、または見知らぬ人からリカバリーフレーズの提示を求められた場合は、詐欺だと考えるべきです。

正規のウォレットサポートでは、通常の問い合わせに回答するためにリカバリーフレーズを必要とすることはありません。

ウォレットの秘密鍵の仕組み

ウォレットの秘密鍵は、特定のトランザクションまたはメッセージに対するデジタル署名を作成することで機能します。

ウォレットソフトウェアがトランザクションの詳細を準備します。

秘密鍵は、暗号学的署名アルゴリズムを用いてその詳細に署名します。

署名済みのトランザクションは、その後ブロックチェーンネットワークにブロードキャストされます。

ノードは、署名が有効であること、およびトランザクションがネットワークのルールに従っていることを検証します。

トランザクションが有効であれば、そのブロックチェーンのコンセンサスプロセスに従ってブロックに含められる、または承認される可能性があります。

秘密鍵をネットワークに送信する必要はありません。

ネットワークに必要なのは、署名と検証データだけです。

これが公開鍵暗号方式の主なセキュリティ上の利点です。

ユーザーは、管理権限を与える秘密情報を明かすことなく、管理権限を証明できます。

ただし、署名前にマルウェア、フィッシング、または偽のウォレットによって秘密鍵が盗まれた場合、攻撃者もトランザクションに署名できます。

ウォレットの秘密鍵はどのように作成されるのか

ウォレットの秘密鍵は、強力な乱数に基づいて生成する必要があります。

主要なブロックチェーンシステムの多くでは、秘密鍵は有効な範囲から選ばれる非常に大きな数値です。

ウォレットはその秘密鍵から公開鍵とウォレットアドレスを導出します。

秘密鍵が安全に生成されていれば、現在の古典的コンピューティング手法で第三者がそれを推測することは、実質的に不可能とされます。

秘密鍵の生成方法が不適切であれば、ウォレットは最初から安全ではない可能性があります。

脆弱な乱数生成、偽のウォレットソフトウェア、予測可能なシード、ブラウザベースの生成ツール、またはユーザー自身が作成した鍵は、重大なリスクを生む可能性があります。

ユーザーは秘密鍵を手作業で作成しないでください。

覚えやすいフレーズから作成された「ブレインウォレット」も避けるべきです。

オンラインの秘密鍵ジェネレーターも使用しないでください。

信頼できるウォレットソフトウェアまたは、鍵を安全に生成するハードウェアウォレットを使用してください。

秘密鍵の安全性は、それを作成したプロセスの安全性に左右されます。

Bitcoinにおける秘密鍵

Bitcoinでは、秘密鍵は、対応する公開鍵の条件によって管理されるアウトプットからの支出を承認します。

Bitcoin開発者向けウォレットガイドでは、ウォレットプログラムは秘密鍵を使用してトランザクションに署名し、公開鍵を使用してbitcoinを受け取ると説明されています。

Bitcoinウォレットは、内部的に多数の秘密鍵を管理している場合があります。

そのため、表示されている1つの秘密鍵だけをバックアップしても、ウォレット内のすべての資金を復元できない場合があります。

最新のBitcoinウォレットでは、多くの場合、1つのバックアップから多数の鍵とアドレスを生成する決定性シードが使用されます。

これにより、ユーザーは新しいアドレスで資金を受け取れるため、プライバシーが向上します。

また、新しい秘密鍵ごとに手動でバックアップする必要がないため、バックアップの利便性も向上します。

ただし、ユーザーは自分のウォレットのバックアップモデルを理解しなければなりません。

ウォレットがシードフレーズを使用する場合、シードフレーズが主な復元手段となる可能性があります。

古いウォレットファイルモデルを使用する場合は、ファイルとパスワードの両方が重要になることがあります。

Ethereumにおける秘密鍵

Ethereumでは、秘密鍵は外部所有アカウントを管理します。

外部所有アカウントは、トランザクションが秘密鍵で署名されている場合にトランザクションを送信できます。

Ethereumのアカウントドキュメントでは、外部所有アカウントは暗号鍵ペアで構成され、ユーザーが実際に暗号資産を保有しているわけではなく、資金はEthereumの台帳に記録されていると説明されています。

この区別は、ウォレットの秘密鍵を理解するうえで重要です。

ウォレットアプリは、ETHやトークンが物理的に保管されている場所ではありません。

残高はブロックチェーンに記録されています。

秘密鍵は、アカウントから資産を移動する権限を管理します。

Ethereumの秘密鍵は、ETH、ERC-20トークン、NFT、DeFiポジション、ガバナンス権限、およびそのアドレスに接続されたスマートコントラクト承認を管理している場合があります。

その秘密鍵が侵害されると、ネイティブコイン残高以外にもリスクが及ぶ可能性があります。

攻撃者は、トークン、NFT、承認、ステーキングポジション、請求可能な報酬も標的にする可能性があります。

HDウォレットにおける秘密鍵

HDは階層的決定性（hierarchical deterministic）の略です。

HDウォレットは、1つのマスターシードから多数の秘密鍵とアドレスを生成できます。

公式のBIP-32仕様では、階層的決定性ウォレットと子鍵の導出を定義しています。

HDウォレットは、ウォレットのバックアップを容易にするため一般的に使用されています。

ユーザーは各秘密鍵を個別にバックアップする代わりに、シードまたはリカバリーフレーズをバックアップできます。

その後、ウォレットは多数のアカウントやアドレスを再生成できます。

これはプライバシー、整理、復元に役立ちます。

ただし、シードまたはリカバリーフレーズが極めて重要な秘密情報になることも意味します。

誰かがマスターリカバリーフレーズを入手すると、そこから導出されるすべての秘密鍵にアクセスできる可能性があります。

リカバリーフレーズが漏えいしている場合、1つの秘密鍵を隠してもウォレット全体を保護できるとは考えないでください。

秘密鍵のインポートとウォレット復元の違い

秘密鍵のインポートは、必ずしもリカバリーフレーズによるウォレット復元と同じではありません。

秘密鍵をインポートすると、ウォレットは特定の1つの鍵またはアドレスに対する管理権限を追加します。

リカバリーフレーズを復元すると、ウォレットはシードから多数の鍵とアドレスを再生成する場合があります。

秘密鍵のインポートは、単一のアカウントを復元する場合に役立つことがあります。

一方、インポートした秘密鍵ですべての元のウォレットアドレスが復元されるとユーザーが考えると、混乱を招く場合があります。

一部のウォレットは秘密鍵のインポートをサポートしています。

一部のウォレットはリカバリーフレーズのみをサポートしています。

一部のウォレットでは、導出パスにより、正しいパスを選択するまで復元された残高が表示されないことがあります。

ユーザーは、1つの鍵をインポートしているのか、シードを復元しているのか、暗号化されたウォレットファイルを開いているのかを理解する必要があります。

これらはセキュリティ上の結果が異なる、別々の復元操作です。

秘密鍵のスイープとインポートの違い

秘密鍵のスイープとは、その秘密鍵が管理する資金を、別の鍵が管理する新しいウォレットアドレスへ移動することです。

秘密鍵のインポートとは、その秘密鍵をウォレットに追加し、そのウォレットで使用できるようにすることです。

古い秘密鍵が漏えいした可能性がある場合、通常、スイープのほうが安全です。

スイープ後、資金は古い侵害された可能性のある鍵に依存しなくなります。

インポートでは、資金が同じ古い秘密鍵の管理下に残る場合があります。

古い鍵がコピー、漏えい、または安全でない方法で生成されたものであれば、新しいアプリにインポートしても漏えい状態は解消されません。

たとえば、ペーパーウォレットの秘密鍵を他人に見せた場合、それをスマートフォンのウォレットにインポートしてもリスクはなくなりません。

通常、より安全な対応は、新しい安全なウォレットを作成して資金を送付することです。

資金移動の際は、ネットワーク手数料とトークン承認についても考慮する必要があります。

目的はアクセスを取り戻すだけでなく、安全な管理権限を取り戻すことです。

ホットウォレットの秘密鍵

ホットウォレットは、インターネットに接続されている、またはインターネット接続デバイスで使用されるウォレットです。

ホットウォレットは、日常的なトランザクション、DeFi、NFT、Web3アプリ、小額残高の管理に便利です。

ただし、デバイスがマルウェア、フィッシングページ、悪意のあるブラウザ拡張機能、偽のウォレットアプリ、クリップボードハイジャッカーに攻撃される可能性があるため、ホットウォレットの秘密鍵は漏えいリスクが高くなります。

ホットウォレットは日常的な支出用として適している場合があります。

通常、多額の長期保有資産を保管する最も安全な場所ではありません。

ユーザーはホットウォレットを日常用の財布のように扱うべきです。

通常の利用に必要な金額のみを保管してください。

リスクの高いdApp、テスト、長期保管には別々のウォレットを使用してください。

トークン承認も定期的に確認してください。

ホットウォレットの秘密鍵が漏えいした可能性がある場合は、ただちに資産を新しい安全なウォレットへ移動してください。

コールドウォレットの秘密鍵

コールドウォレットでは、秘密鍵をオフラインに保つか、インターネット接続環境から隔離します。

ハードウェアウォレット、オフライン署名デバイス、エアギャップ化されたコンピューター、ペーパーバックアップは、コールドストレージの構成要素になり得ます。

コールドストレージは、インターネット上の攻撃者が秘密鍵に到達しにくくなるため有用です。

ただし、コールドストレージにもリスクはあります。

リカバリーフレーズが物理的に盗まれる可能性があります。

ユーザーがバックアップを紛失する可能性があります。

内容を理解しないまま悪意のあるトランザクションに署名する可能性があります。

安全でない販売元から購入した場合、デバイスのサプライチェーンが攻撃される可能性があります。

偽のアップデートサイトにシードフレーズを入力するよう誘導される可能性があります。

コールドストレージはオンライン上の漏えいリスクを軽減しますが、慎重な検証の必要性をなくすものではありません。

安全なコールドウォレットの設定では、秘密鍵と復元手段の両方を保護します。

ハードウェアウォレットの秘密鍵

ハードウェアウォレットは、専用の署名デバイス内で秘密鍵を保管するよう設計されています。

通常の使用中、秘密鍵がハードウェアウォレットから外部に出るべきではありません。

接続されたコンピューターまたはスマートフォンが未署名のトランザクションを準備します。

ハードウェアウォレットはトランザクションの詳細を表示し、ユーザーに承認を求めます。

デバイスは内部でトランザクションに署名し、署名を返します。

これにより、多くのオンライン攻撃から秘密鍵を保護できます。

ただし、ハードウェアウォレットは万能ではありません。

ユーザーはデバイス画面上でアドレスと金額を確認する必要があります。

セットアップ時に生成されたリカバリーフレーズを保護する必要があります。

偽のファームウェアアップデート、偽のサポートページ、非公式の復元ツールは避けるべきです。

リカバリーフレーズが盗まれた場合、攻撃者はハードウェアウォレット自体を必要としない可能性があります。

カストディアルウォレットと秘密鍵

カストディアルウォレットでは、ユーザーが秘密鍵を直接保有しません。

企業またはプラットフォームが、ユーザーに代わって秘密鍵を管理します。

ユーザーは本人確認、メール、またはサポートを通じてアクセスを再設定できる場合があるため、アカウント復旧が容易になることがあります。

ただし、これはユーザーがカストディアンに依存することも意味します。

カストディアンは、出金を凍結したり、アカウントを制限したり、侵害を受けたり、支払不能になったり、法的命令に従ったりする可能性があります。

カストディアルウォレットは初心者やアクティブな取引には有用な場合がありますが、セルフカストディとは異なります。

セルフカストディでは、ユーザーが秘密鍵または復元手段を管理します。

カストディでは、プラットフォームが鍵を管理し、ユーザーはアカウントに対する請求権を持ちます。

資金の保管先を決める前に、どのモデルを利用しているのかを理解する必要があります。

秘密鍵の管理権限は、直接的な所有権限とプラットフォーム管理型アクセスの違いを決定します。

スマートコントラクトウォレットと秘密鍵

スマートコントラクトウォレットでは、従来のウォレットとは異なる方法で秘密鍵を使用できます。

従来の外部所有アカウントは、通常1つの秘密鍵によって管理されます。

スマートコントラクトウォレットでは、誰が署名、復元、支出、または操作承認を行えるかについて、カスタムルールを定義できます。

公式のEthereumアカウント抽象化ガイドでは、スマートコントラクトウォレットがアカウント復元やカスタム検証ロジックなど、柔軟なセキュリティ機能をサポートできると説明されています。

スマートコントラクトウォレットでは、1つの所有者鍵、複数の署名者鍵、ガーディアン、セッションキー、支出上限、または復元の待機期間を使用する場合があります。

これにより、安全性とユーザー体験が向上する可能性があります。

一方で、新たな複雑さも生まれる可能性があります。

ユーザーは、どの鍵にどの権限があるのかを理解する必要があります。

適切に設計されていれば、侵害されたセッションキーの権限は限定される可能性があります。

侵害された所有者鍵は依然として重大な問題になり得ます。

スマートコントラクトウォレットは単一鍵リスクを軽減できますが、そのルールが安全で理解しやすい場合に限られます。

マルチシグウォレットの秘密鍵

マルチシグウォレットでは、トランザクションの承認に複数の秘密鍵が必要です。

たとえば、2-of-3マルチシグでは、3つの署名鍵のうち任意の2つが必要です。

この設計は、1つの鍵の紛失または1つの鍵の侵害から保護するのに役立つ場合があります。

DAO、企業、家族によるカストディ、トレジャリー、高額資産の保管で一般的に使用されます。

ただし、マルチシグを使用しても秘密鍵に対する責任がなくなるわけではありません。

各署名鍵は引き続き保護する必要があります。

ウォレットの設定もバックアップする必要があります。

あまりに多くの鍵を失うと、資金にアクセスできなくなる可能性があります。

十分な数の鍵が盗まれると、資金が流出する可能性があります。

マルチシグは、署名者を分離し、手順を文書化し、適切に教育することで耐障害性を高めます。

すべての鍵を同じ場所に保管したり、誰も復元プロセスを理解していなかったりすると、機能しません。

MPCウォレットと秘密鍵シェア

MPCはマルチパーティ計算（multi-party computation）の略です。

MPCウォレットシステムでは、完全な秘密鍵を1か所に保管する代わりに、署名権限を複数の鍵シェアに分割できる場合があります。

ウォレットは、完全な秘密鍵を1か所で再構築することなく、連携プロセスを通じて署名を作成できます。

これにより、単一箇所での秘密鍵漏えいリスクを軽減できる場合があります。

また、機関向けカストディ、シードフレーズ不要のオンボーディング、ポリシーに基づく承認の改善にも役立つ可能性があります。

ただし、MPCシステムには独自の信頼前提があります。

ユーザーは、ソフトウェア提供者、デバイス、クラウドアカウント、復元サービス、または本人確認に依存する場合があります。

復元プロセスが不明確な場合、デバイスを紛失した際に何が起こるのかをユーザーが把握できない可能性があります。

提供者に問題が発生した場合、設計によってはポリシーに基づく復元が困難になることがあります。

MPCは一部の秘密鍵リスクを軽減しますが、その代わりにシステム設計と提供者に関するリスクが生じます。

秘密鍵とウォレット復元

秘密鍵は、それが管理する特定のアドレスまたはアカウントへのアクセスを復元するために使用できます。

決定性ウォレットの場合、リカバリーフレーズによって多数の秘密鍵を復元できます。

キーストアファイルは、正しいパスワードと組み合わせた場合にのみ秘密鍵を復元できることがあります。

ハードウェアウォレットのリカバリーフレーズは、新しいデバイス上で秘密鍵を再作成できる場合があります。

スマートコントラクトウォレットでは、ガーディアンまたはその他のプログラムされたルールを通じてアクセスを復元できる場合があります。

ユーザーは、自分のウォレットで使われている復元モデルを記録しておくべきです。

すべてのウォレットが同じ方法で復元できると考えてはいけません。

ユーザーが持っているものが1つの秘密鍵だけであれば、復元できるのは1つのアカウントだけかもしれません。

リカバリーフレーズを持っている場合も、正しいアドレスを表示するには正しい導出パスとパスフレーズが必要になることがあります。

多額の資金を依存させる前に、少額または安全な検証方法を使って、ウォレット復元を慎重にテストする必要があります。

秘密鍵の保管に関するベストプラクティス

長期保有資産の秘密鍵は、可能な限りオフラインで保管する必要があります。

秘密鍵をスクリーンショットに保存しないでください。

秘密鍵をメールの下書きに保存しないでください。

秘密鍵をクラウドドキュメントに保存しないでください。

秘密鍵をチャットアプリで送信しないでください。

共有プリンターで秘密鍵を印刷しないでください。

秘密鍵をウェブサイトに入力しないでください。

鍵情報を要求するブラウザ拡張機能は避けてください。

意味のある残高を管理する場合は、信頼できるウォレット、ハードウェアウォレット、またはマルチシグ設定を使用してください。

バックアップは安全な物理的場所に保管してください。

バックアップを火災、洪水、盗難、誤廃棄、家族の誤解から守ってください。

最適な秘密鍵保管計画は、秘密性と復元可能性の両方を備えています。

秘密鍵バックアップでよくあるミス

よくあるミスの1つは、バックアップを1つだけ作成し、1か所に保管することです。

火災、洪水、引っ越し、盗難によって、そのバックアップが失われる可能性があります。

もう1つのミスは、安全対策のないコピーを作りすぎることです。

コピーが増えるたびに、盗難の機会も増えます。

さらに、保護対象のデバイスと一緒に秘密鍵を保管することもミスです。

盗難者が両方を見つけた場合、ウォレットの資金が流出する可能性があります。

バックアップに明確すぎるラベルを付けることもミスです。

「暗号資産の秘密鍵」と書かれた紙は、注意を引く可能性があります。

相続人が理解できないバックアップを作成することもミスです。

復元手順が露出しすぎても、隠されすぎても、暗号資産の相続は失敗します。

優れたバックアップ計画では、秘密性、耐久性、復元、相続のバランスを取ります。

秘密鍵を紛失するとどうなる？

秘密鍵を紛失した場合の結果は、別の復元手段があるかどうかによって異なります。

リカバリーフレーズを持っていれば、秘密鍵を再生成できる場合があります。

ハードウェアウォレットのバックアップがあれば、別のデバイスでウォレットを復元できる場合があります。

マルチシグの必要署名数を満たす鍵が残っていれば、残りの鍵で資金を移動できる可能性があります。

スマートコントラクトウォレットに復元プロセスがあれば、ガーディアンがアクセスの復元を支援できる場合があります。

復元手段が存在しない場合、資産には永久にアクセスできなくなる可能性があります。

ブロックチェーンネットワークでは、通常、秘密鍵をリセットできません。

バリデーターやマイナーは通常、有効な署名なしに資金を動かすことはできません。

ウォレット企業は、鍵を一度も保有していなかったセルフカストディウォレットを復元できません。

そのため、必要になる前に復元計画を作成する必要があります。

秘密鍵の紛失は、解決するよりも予防するほうが容易です。

秘密鍵が盗まれるとどうなる？

秘密鍵が盗まれた場合、そのウォレットは永久に侵害されたものとして扱う必要があります。

ウォレットアプリのパスワードを変更しても、盗まれた秘密鍵の問題は解決しません。

秘密鍵を新しいウォレットアプリに移しても、問題は解決しません。

攻撃者は引き続き同じ秘密鍵を使用できます。

通常、最も安全な対応は、新しい秘密鍵またはリカバリーフレーズを持つ完全に新しいウォレットを作成し、残っている資産をただちに移動することです。

可能であれば、リスクの高いトークン承認も取り消すべきです。

ただし、承認を取り消しても、すでに送付された資金を取り戻すことはできません。

FTCの暗号資産詐欺に関するガイダンスでは、暗号資産詐欺による支払いは、一度送付されると回収が困難な場合が多いと警告しています。

盗難後は、トランザクションハッシュ、アドレス、URL、スクリーンショット、通信記録を収集してください。

被害を報告することはできますが、結果を保証すると約束する偽の資金回収サービスには注意が必要です。

秘密鍵詐欺

詐欺師は1つの秘密情報でウォレットを管理できることを知っているため、秘密鍵詐欺は一般的です。

偽のサポート担当者が、秘密鍵を使ってウォレットを「確認」するよう求める場合があります。

偽のエアドロップページが、報酬を請求するために鍵をインポートするよう求める場合があります。

偽の復元ツールが、失われた資金を復元するために秘密鍵を入力するよう求める場合があります。

偽のセキュリティ警告が、ウォレットを秘密鍵で同期しなければならないと主張する場合があります。

偽の取引ボットが、利益を自動化するためとして秘密鍵へのアクセスを求める場合があります。

偽のブリッジが、資産をアンロックするために秘密鍵を求める場合があります。

これらはすべて危険です。

通常のdAppがユーザーの秘密鍵を必要とすることはありません。

正規のエアドロップが秘密鍵を必要とすることはありません。

正当なカスタマーサポートの手続きで秘密鍵を求められるべきではありません。

ウェブサイトからウォレットの秘密鍵を求められた場合、最も安全な前提は、ウォレットを盗もうとしているということです。

秘密鍵とトークン承認

秘密鍵はトランザクションに署名しますが、危険なウォレット操作のすべてが直接送付とは限りません。

一部のトランザクションでは、後でスマートコントラクトがトークンを使用できるように承認します。

これはDeFi、NFTマーケットプレイス、ブリッジ、ゲーム、ステーキングアプリで一般的です。

ユーザーが秘密鍵で悪意のある承認に署名した場合、攻撃者は再び秘密鍵を必要とせず、承認済みトークンを移動できる可能性があります。

つまり、秘密鍵の安全性には署名の安全性も含まれます。

秘密鍵で、ユーザーが理解していない操作に署名してはいけません。

トークン承認の対象、金額、コントラクト、ネットワーク、ウォレットの確認画面を慎重に確認してください。

リスクの高いdAppには別のウォレットを使用してください。

可能であれば不要な承認を取り消してください。

秘密鍵自体が秘密に保たれていても、不適切な署名によって資金を失う可能性があります。

鍵を保護することは必要ですが、鍵が何に署名するのかを確認することも必要です。

秘密鍵とメッセージ署名

メッセージ署名により、オンチェーンのトランザクションを送信せずにウォレットの管理権限を証明できます。

秘密鍵がメッセージに署名し、検証者がその署名を確認します。

これは、ウォレットログイン、本人性の証明、DAO投票、許可リスト、オフチェーンの認可に使用できます。

EIP-4361は、Sign-In with Ethereumとしても知られ、ウォレットベース認証の標準メッセージ形式を定義しています。

メッセージが明確で、権限が限定されている場合、メッセージ署名は安全に利用できることがあります。

ユーザーが読めない、または悪意のあるメッセージに署名すると危険になる可能性があります。

一部の署名は、トークンの許可、マーケットプレイス注文、委任、アカウント権限を承認する場合があります。

すべてのメッセージ署名を無害だと考えてはいけません。

署名中にウォレットの秘密鍵は秘密のままですが、署名済みメッセージは依然として影響を生む可能性があります。

安全な習慣は、すべてのメッセージを読み、不明または予期しないものは拒否することです。

秘密鍵とブラウザ拡張機能

ブラウザ拡張機能型ウォレットはWeb3を使いやすくしますが、安全でないソフトウェアをインストールすると、秘密鍵の漏えいリスクも高まります。

正規のウォレット拡張機能では、暗号化された鍵情報をローカルに保管し、ロック解除時にパスワードを求める場合があります。

悪意のある拡張機能は、秘密鍵を盗む、アドレスを改ざんする、偽の確認画面を挿入する、クリップボード操作を監視するなどの行為を行う可能性があります。

ウォレット拡張機能は必ず公式ソースからのみインストールしてください。

使用していない拡張機能は削除してください。

無料トークン、取引シグナル、ウォレット復元、NFTの請求をうたう未知の拡張機能は避けてください。

ブラウザを最新の状態に保ってください。

暗号資産の操作には、別のブラウザプロファイルを使用することも検討してください。

より大きな残高を管理する場合、ホットな拡張機能型ウォレットだけに頼るのではなく、ハードウェアウォレットやマルチシグを検討してください。

ブラウザは便利なWeb3の入口になり得ますが、一般的な攻撃対象領域でもあります。

秘密鍵とモバイルウォレット

モバイルウォレットは、スマートフォンからトランザクションの送付、受取、署名を行えるため便利です。

ただし、モバイルの秘密鍵セキュリティは、デバイス、OS、ウォレットアプリ、バックアップ方法、画面ロック、マルウェアリスク、クラウド設定に左右されます。

ウォレットが暗号化され、リカバリーフレーズが安全に保管されていれば、スマートフォンが盗まれてもウォレットが自動的に漏えいするとは限りません。

リカバリーフレーズが盗まれた場合、スマートフォンが安全なままでもウォレットが漏えいする可能性があります。

強力なデバイスロックを使用してください。

非公式のソースからウォレットアプリをインストールしないでください。

リカバリーフレーズを写真やメモに保存しないでください。

画面共有、リモートサポートツール、クリップボード権限には注意してください。

モバイルのホットウォレットには、日常利用向けの少額残高を保管してください。

モバイルウォレットは便利ですが、リスクのない金庫として扱うべきではありません。

秘密鍵とペーパーウォレット

ペーパーウォレットとは、秘密鍵、リカバリーフレーズ、またはウォレットの秘密情報を物理的に記録したものです。

ペーパーウォレットは暗号資産の初期にはより一般的でしたが、初心者にはリスクがある場合があります。

ペーパーウォレットは安全でない方法で生成される可能性があります。

侵害されたプリンターで印刷される可能性があります。

水、火、日光、経年劣化によって損傷する可能性があります。

誤って捨てられる可能性があります。

近くにいる人に撮影またはコピーされる可能性があります。

復元時に誤解される可能性もあります。

ペーパーウォレットの秘密鍵をホットウォレットにインポートすると、鍵が漏えいする可能性があります。

資金を新しいウォレットにスイープすれば、古い鍵は移動済み資金を管理しなくなります。

紙はバックアップ素材として利用できますが、自動的に安全になるわけではありません。

秘密鍵と相続

秘密鍵の相続は、所有者が生存している間は鍵を秘密に保ちつつ、所有者が死亡または判断能力を失った場合には復元可能にしなければならないため困難です。

秘密鍵を見つけやすすぎる場所に置くと、窃盗者に見つかる可能性があります。

隠しすぎると、相続人が資産を復元できない可能性があります。

相続人が暗号資産を理解していない場合、鍵を詐欺サイトに入力してしまう可能性があります。

適切な相続計画には、法的文書、信頼できる遺言執行者、マルチシグ、ハードウェアウォレット、封印された手順書、または専門的な相続対策が含まれる場合があります。

計画では、秘密情報を早期に公開することなく、何が存在するかを説明する必要があります。

必要なウォレットソフトウェア、ネットワーク、パスフレーズ、マルチシグ設定も説明する必要があります。

相続計画は秘密鍵セキュリティの一部です。

所有者だけが理解できるウォレットは、所有者がいなくなると永久に失われる可能性があります。

長期的なカストディには、秘密性と継続性の両方が必要です。

秘密鍵が侵害された可能性を示す兆候

ユーザーの承認なしに資産が移動した場合、秘密鍵が侵害されている可能性があります。

秘密鍵をウェブサイトに入力した場合、侵害されている可能性があります。

ハッキングされたクラウドストレージにリカバリーフレーズを保管していた場合、侵害されている可能性があります。

署名に使用したデバイスでマルウェアが見つかった場合、侵害されている可能性があります。

偽のウォレットアプリを使用した場合、侵害されている可能性があります。

知らない人がバックアップを見たり撮影したりした場合、侵害されている可能性があります。

ハードウェアウォレットのシードフレーズをコンピューターに入力した場合、侵害されている可能性があります。

紙のバックアップを紛失した、または開封された場合、侵害されている可能性があります。

同じ鍵が疑わしいツールで生成された場合、侵害されている可能性があります。

侵害の可能性がある場合、長く迷い続けるべきではありません。

まだ可能であれば、新しい安全なウォレットを作成し、残っている資産を移動してください。

漏えいした秘密鍵への対応方法

最初の手順は、侵害されたウォレットを今後の保管用として使用しないことです。

2番目の手順は、信頼できるソフトウェアまたはハードウェアを使って新しいウォレットを作成することです。

3番目の手順は、新しい復元手段をオフラインで安全にバックアップすることです。

4番目の手順は、侵害されたウォレットから残っている資産を新しいウォレットへ送付することです。

5番目の手順は、トークン、NFT、ステーキングポジション、DeFi預け入れ、請求可能な報酬を確認することです。

6番目の手順は、可能であれば不要な承認を取り消すことです。

7番目の手順は、原因となった可能性のあるデバイスまたはソフトウェアを、クリーンアップまたは交換するまで使用しないことです。

8番目の手順は、今後の予防のために何が起きたかを記録することです。

資産を移動した後に、侵害されたウォレットへ資金を戻してはいけません。

漏えいした秘密鍵を再び秘密にすることはできません。

ウォレットの秘密鍵でよくあるミス

よくあるミスの1つは、秘密鍵をスクリーンショットに保存することです。

もう1つのミスは、秘密鍵をクラウドメモに保存することです。

秘密鍵をメッセージアプリで送信することもミスです。

オンラインの秘密鍵ジェネレーターを使用することもミスです。

資金を新しいウォレットにスイープする代わりに、漏えいした古い鍵をインポートすることもミスです。

ウォレットのパスワードと秘密鍵を混同することもミスです。

カスタマーサポートが紛失したセルフカストディの秘密鍵を復元できると考えることもミスです。

すべての用途で1つのホットウォレットを使用することもミスです。

ウォレットの確認画面を読まずにトランザクションに署名することもミスです。

ウォレットの秘密情報が映り込む画面録画を共有することもミスです。

秘密鍵の損失の大半は、暗号技術の破綻ではなく人為的行動に起因します。

ウォレットの秘密鍵を管理するメリット

1つ目のメリットはセルフカストディです。

ユーザーは、カストディアンによる出金承認に依存せず、資産を直接管理できます。

2つ目のメリットはパーミッションレスなアクセスです。

ユーザーは自身のウォレットを使用して、対応するブロックチェーンネットワークやdAppとやり取りできます。

3つ目のメリットはポータビリティです。

正しい復元手段があれば、互換性のあるウォレットでアクセスを復元できます。

4つ目のメリットは検閲耐性です。

署名鍵を管理していれば、ユーザーは単一企業のアカウントへの依存を抑えられます。

5つ目のメリットはWeb3アイデンティティです。

秘密鍵は、アドレスの所有を証明するメッセージに署名できます。

6つ目のメリットは資産管理です。

ユーザーはコイン、トークン、NFT、オンチェーンポジションを自身のウォレットで保有できます。

7つ目のメリットは金融上の自立です。

リスクを理解していれば、ユーザーは暗号資産を直接管理できます。

ウォレットの秘密鍵を管理するリスク

1つ目のリスクは永久的な損失です。

鍵と復元手段を失うと、資産に永久にアクセスできなくなる可能性があります。

2つ目のリスクは盗難です。

鍵が漏えいすると、資金がすぐに盗まれる可能性があります。

3つ目のリスクはフィッシングです。

偽のウェブサイトは、鍵の開示や有害な操作への署名をユーザーに誘導する可能性があります。

4つ目のリスクはマルウェアです。

侵害されたデバイスは、秘密鍵を盗んだりトランザクションを改ざんしたりする可能性があります。

5つ目のリスクは不適切なバックアップです。

バックアップは、損傷、盗難、混乱、パスフレーズの紛失により機能しない可能性があります。

6つ目のリスクは相続の失敗です。

明確な計画がなければ、相続人は資産を復元できない場合があります。

7つ目のリスクは過信です。

ユーザーは鍵を保有しているだけでセルフカストディが安全だと考え、運用上のセキュリティを軽視する可能性があります。

秘密鍵の管理は強力ですが、規律が必要です。

ウォレットの秘密鍵を簡単に説明すると

ウォレットの秘密鍵は、ウォレットがトランザクションに署名できるようにする秘密情報です。

対応するアドレスまたはアカウントから暗号資産を送付する権限を管理します。

公開鍵は署名の検証に役立ちます。

ウォレットアドレスは資金を受け取ります。

リカバリーフレーズは秘密鍵を復元できます。

パスワードは、1台のデバイス上のウォレットアプリをロック解除するだけの場合があります。

誰かがあなたの秘密鍵を入手した場合、その人はあなたの資金を移動できる可能性があります。

秘密鍵を紛失し、バックアップがなければ、永久にアクセスを失う可能性があります。

初心者向けの主なルールはシンプルです。

ウォレットの秘密鍵を決して共有せず、不審なウェブサイトに入力せず、常に安全な復元計画を用意してください。

FAQ

ウォレットの秘密鍵とは？

ウォレットの秘密鍵とは、トランザクションへの署名と、暗号資産ウォレットアドレスまたはアカウントに紐づく資産の管理に使用される秘密の暗号鍵です。

秘密鍵はパスワードと同じですか？

いいえ。ウォレットのパスワードはアプリのロックを解除するものですが、秘密鍵はブロックチェーン上のトランザクションを承認できます。

秘密鍵はリカバリーフレーズと同じですか？

いいえ。リカバリーフレーズは1つまたは複数の秘密鍵を生成できますが、秘密鍵は通常、1つのアカウントまたはアドレスを管理します。

秘密鍵はウォレットアドレスと同じですか？

いいえ。ウォレットアドレスは公開され、資金の受け取りに使用されます。一方、秘密鍵は秘密であり、資金の送付に使用されます。

秘密鍵で暗号資産を盗まれる可能性はありますか？

はい。正しい秘密鍵を持つ人は、トランザクションに署名し、ウォレットから資産を移動できる可能性があります。

公開鍵で暗号資産を盗まれる可能性はありますか？

通常の最新ウォレットシステムでは、公開鍵だけで資金を盗むことはできないはずです。

秘密鍵を変更できますか？

同じアドレスの秘密鍵を変更することはできませんが、新しい秘密鍵を持つ新しいウォレットを作成し、そこへ資産を送付できます。

秘密鍵が漏えいした場合はどうすればよいですか？

新しい安全なウォレットを作成し、できるだけ早く残っている資産を侵害されたウォレットから移動してください。

紛失した秘密鍵を復元できますか？

紛失した秘密鍵は、リカバリーフレーズ、キーストアファイル、ハードウェアウォレットのバックアップ、マルチシグの必要署名数、スマートコントラクトウォレットの復元設定など、別の有効な復元手段がある場合にのみ復元できます。

秘密鍵をオンラインで保管すべきですか？

いいえ。クラウドストレージ、メール、スクリーンショット、チャットアプリに秘密鍵を保管すると、重大な盗難リスクが生じます。

秘密鍵をウェブサイトに入力してもよいですか？

秘密鍵をウェブサイトに入力してはいけません。これは詐欺師がウォレットを盗む一般的な方法です。

秘密鍵のスイープとは？

スイープとは、古い秘密鍵が管理する資金を、新しい秘密鍵が管理する新しいウォレットへ移動することです。

秘密鍵のインポートとは？

インポートとは、既存の秘密鍵をウォレットアプリに追加し、そのアプリがそのアドレスを管理できるようにすることです。

スイープはインポートより安全ですか？

古い秘密鍵が漏えいした可能性がある場合、資金が新しい鍵に移動するため、スイープのほうが安全であることが多いです。

ハードウェアウォレットは秘密鍵を公開しますか？

適切に使用されるハードウェアウォレットでは、秘密鍵をデバイス内に保持し、内部でトランザクションに署名する必要があります。

カスタマーサポートはセルフカストディの秘密鍵を復元できますか？

通常はできません。真のセルフカストディウォレットの提供者は、あなたの秘密鍵やリカバリーフレーズにアクセスできないはずです。

スマートコントラクトウォレットは秘密鍵リスクを軽減できますか？

はい。スマートコントラクトウォレットでは、復元ルール、ガーディアン、支出上限、マルチシグ形式の管理を追加できますが、その設計は依然として安全である必要があります。

ウォレットの秘密鍵を保護する最も安全な方法は？

通常、最も安全な方法は、信頼できるウォレットソフトウェア、オフラインバックアップ、より大きな残高に対するハードウェア署名、慎重なトランザクション確認、明確な復元計画を組み合わせることです。

結論

ウォレットの秘密鍵は、セルフカストディ型暗号資産ウォレットにおいて最も重要な秘密情報です。

これは、ユーザーがトランザクションに署名し、資産を移動し、ブロックチェーンアカウントの管理権限を証明するための暗号学的な権限です。

ウォレットアドレス、公開鍵、パスワード、リカバリーフレーズとは異なります。

ウォレットアドレスは資金を受け取ります。

公開鍵は署名の検証に役立ちます。

パスワードはローカルアプリのロックを解除する場合があります。

リカバリーフレーズは1つまたは複数の秘密鍵を復元できる場合があります。

秘密鍵は資産を送付できる秘密情報です。

この権限がセルフカストディの価値を生む一方、秘密鍵のセキュリティを取り返しのつかないものにしています。

バックアップなしで秘密鍵を失った場合、資金には永久にアクセスできなくなる可能性があります。

秘密鍵が盗まれた場合、資金は許可なく移動される可能性があります。

悪意のある承認に署名した場合、秘密鍵自体が直接公開されていなくても、資金がリスクにさらされる可能性があります。

適切な秘密鍵管理には、信頼できるウォレットの使用、オンライン上での鍵の漏えい回避、オフラインバックアップの保持、復元方法の理解、ホットウォレットとコールドウォレットの分離、署名前のウォレット確認画面の確認が含まれます。

上級ユーザーは、ハードウェアウォレット、マルチシグ、スマートコントラクトウォレット、MPC、ソーシャルリカバリー、相続計画を追加できます。

初心者は、まず基本ルールから始めてください。

ウォレットの秘密鍵やリカバリーフレーズを、誰にも決して共有しないでください。

暗号資産では、秘密鍵を管理する人がウォレットを管理します。