ビットコインの自己保管を始めると、取引所のカウンターパーティリスクは排除できますが、その分だけ自身がセキュリティの最前線に立つことになります。攻撃者はビットコイン保有者を標的にした様々な手口を駆使しており、その脅威を正しく理解しておくことが安全な保管の基本です。
本記事では、ビットコイン保有者が直面する主要な脅威の種類と、それぞれに対する具体的な対策を解説します。フィッシング詐欺やマルウェアといったサイバー上の脅威から、物理的な盗難・強迫まで、包括的なセキュリティ設計の考え方を解説します。
サイバー上の主要な脅威
フィッシング詐欺の手口と見分け方
フィッシング詐欺は、正規のサービスを装った偽サイトや偽メールへ誘導し、シードフレーズやパスワードを入力させる攻撃です。ビットコイン関連では以下のような手口が代表的です。
- 偽ウォレットサイト：Ledger LiveやTrezor Suiteに似たデザインの偽サイトで「ウォレットの復旧が必要です」と促しシードフレーズを入力させる。
- 偽サポートメール：取引所や有名ウォレットブランドを名乗り、リンク先の偽サイトに誘導する。
- SNSでの詐欺：有名人のなりすましアカウントが「ビットコインを送れば2倍にして返す」等と誘惑するギブアウェイ詐欺。
対策の基本は、公式サイトのURLをブックマークして直接アクセスすること、検索エンジンの広告リンクを信頼しないこと、シードフレーズを入力するよう求めるサービスは100%詐欺と理解することです。
クリップボードハイジャックとアドレス差し替え攻撃
クリップボードハイジャックは、PCやスマートフォンのクリップボード監視マルウェアが、コピーしたビットコインアドレスを攻撃者のアドレスに自動的に差し替える攻撃です。被害者は正規のアドレスを貼り付けたつもりが、攻撃者のアドレスに送金してしまいます。
対策は、送金前に宛先アドレスを必ず目視で確認することです。コピー&ペーストをした後、最低でもアドレスの先頭4文字と末尾4文字が正しいかどうかを照合する習慣をつけてください。ハードウェアウォレットを使っている場合は、デバイスの画面で表示されるアドレスとの一致を確認してください。
マルウェアとRAT（リモートアクセスツール）
マルウェアの中には、ビットコインウォレットのファイルや秘密鍵を自動的に検索・送信するものがあります。特に注意が必要なのが、画面の録画やキーログ（キーボード入力の記録）を行うRAT（Remote Access Trojan）です。
ソフトウェアウォレットのパスワード入力や秘密鍵の扱いは、信頼できるデバイスのみで行うことが重要です。重要な操作を行うPCはできる限り不審なソフトウェアをインストールしない「クリーンな環境」に保つことが推奨されます。
ハードウェアウォレット固有のリスク
サプライチェーン攻撃
サプライチェーン攻撃とは、正規の流通経路を経由したハードウェアウォレットに何らかの改ざんが加えられているリスクです。製造段階や流通段階でデバイスが改ざんされ、シードフレーズが攻撃者に漏洩する仕掛けが施される可能性が理論上存在します。
対策としては、必ず公式サイトや認定販売代理店から購入すること、開封時にパッケージの封印シールを確認すること、初期設定時にデバイスが正規品かどうかの検証ステップを完了させることが重要です。
デバイスへの物理的アクセスリスク
ハードウェアウォレット本体に物理的にアクセスされた場合、高度な攻撃（グリッチ攻撃・サイドチャネル攻撃）によりPINコードが解析される可能性があります。これは一般的な攻撃者には難しい手法ですが、高価値の標的に対しては実施されることがあります。
このリスクへの対策として、パスフレーズ（第25番目のシード）の設定が有効です。パスフレーズが正しく設定されていれば、デバイスのPINが突破されても正しいウォレットにアクセスすることはできません。
物理的なセキュリティリスク
$5レンチ攻撃（強迫による資産移転）
高度なサイバー攻撃ではなく、単純な物理的な強迫や暴力によってシードフレーズや秘密鍵を引き出す攻撃は「$5レンチ攻撃」と呼ばれています。これはいかに優れた暗号技術を持っていても、保有者が直接脅された場合には無力であることを示す概念です。
この脅威に対する一般的な対策のひとつが「デコイウォレット」の作成です。パスフレーズによって、同じシードフレーズから2つの異なるウォレットを生成できます。少額の資産を入れたデコイウォレット（パスフレーズなし）と、本命のウォレット（パスフレーズあり）を使い分けることで、強迫されても本命の資産を守る手段として活用されることがあります。
自宅への不正侵入リスク
自宅に大量のビットコインを保有していることを他者に知られることは、自宅への不正侵入リスクを高める要因になります。SNSでの資産規模の公表や、著名なビットコイン保有者として広く知られることは、物理的な標的にされるリスクと隣り合わせです。
このリスクへの対策は「資産規模を公言しない」という運用面での注意が最も基本的です。また、ハードウェアウォレットや金属バックアップは目立たない場所に保管し、存在自体を知られないようにすることが重要です。
オペレーションセキュリティ（OPSEC）の実践
デジタルフットプリントの管理
オペレーションセキュリティ（OPSEC）とは、軍事・情報機関で発展した概念であり、攻撃者に利用される可能性のある情報の露出を最小化する考え方です。ビットコイン保有者にとっては以下のような実践が該当します。
- ビットコインアドレスと個人情報を結びつけない
- 取引履歴を公のSNSと関連付けない
- ビットコイン関連のフォーラムや掲示板でプライバシーに注意する
- KYC（本人確認）が必要な取引所から出金する際はコインジョイン等のプライバシー技術を検討する
ビットコインのブロックチェーンはすべての取引が公開されているため、アドレスと個人情報が一度紐付けられると、過去の取引も含めてすべての資産状況が追跡される可能性があります。
ネットワークセキュリティ
ビットコインに関連する操作を行う際のネットワーク環境にも注意が必要です。公共のWi-Fiネットワークでの取引操作は極力避けてください。VPN（仮想プライベートネットワーク）の使用や、Torブラウザを通じたノードへのアクセスは、IPアドレスと取引の紐付けを困難にする手段として活用されています。
また、ルーターへのソフトウェアアップデートや強固なパスワードの設定など、自宅ネットワーク自体のセキュリティ管理も基本として重要です。
デバイス管理とソフトウェアセキュリティ
専用デバイスの活用
大きな資産を管理する場合、ビットコイン関連の操作専用のデバイスを用意することを検討してください。日常的なウェブブラウジングやゲームなどに使用するデバイスとは分けることで、マルウェア感染のリスクを低減できます。
一部の上級ユーザーは、エアギャップ（インターネット未接続）の専用PCを用意し、ColdCardのようなエアギャップ対応ウォレットと組み合わせて最高レベルのセキュリティを実現しています。これは最も安全な構成のひとつですが、利便性は大幅に下がります。
ソフトウェアの管理と更新
ウォレットソフトウェア・OSともに、セキュリティアップデートは速やかに適用することが基本です。ただし、更新前にはシードフレーズが手元にあることを確認し、公式サイトからダウンロードしたファイルの署名（PGP署名）を検証することが推奨されます。
まとめ
ビットコインのセキュリティは、サイバー上の脅威と物理的な脅威の両面を考慮する必要があります。フィッシング詐欺・クリップボードハイジャック・マルウェアへの対策を基本としつつ、保有資産の規模が増えるにつれてOPSECの実践や物理的なリスク対策も重要になります。
完璧なセキュリティは存在しませんが、基本的な対策を積み重ねることでリスクを大幅に低減できます。自分の保有規模とライフスタイルに合ったセキュリティ設計を継続的に見直していくことが大切です。
よくある質問
ビットコインを安全に保有するために最低限やるべきことは何ですか？
最低限として、ハードウェアウォレットの使用、シードフレーズの物理バックアップ（紙への手書き記録）、シードフレーズのデジタル保存の禁止、送金時のアドレス確認の徹底、フィッシングサイトへの注意、の5点を実践することをお勧めします。
デコイウォレットは有効な防衛手段ですか？
強迫攻撃（$5レンチ攻撃）に対する対策のひとつとして紹介されることがありますが、万能ではありません。攻撃者が技術に詳しい場合、デコイウォレットの存在を疑い、本命のウォレットを探そうとする可能性があります。あくまでひとつの補助的な対策として理解してください。
取引所にビットコインを置いておくのはどれだけ危険ですか？
取引所には国内外を問わずハッキングや経営破綻のリスクがあります。一方、自己保管は自身のミスや物理的な盗難リスクがあります。小額は取引所、大きな資産はハードウェアウォレットへの自己保管という使い分けが多くの専門家によって推奨されています。
※本記事は情報提供を目的としており、投資を推奨するものではありません。暗号資産への投資は元本割れのリスクがあります。投資判断はご自身の責任で行ってください。