すべての暗号資産アカウントのための 2FA ベストプラクティス

オンラインで行うどんなことよりも、暗号資産で 2FA が重要な理由

パスワードだけではしばしば破られます。認証情報の漏洩、サイトをまたいだパスワードの使い回し、そして本物のログイン画面と見分けのつかないフィッシングページ — このどれか一つでも、あなたのパスワードを攻撃者に渡してしまいます。ほとんどのオンラインアカウントでは、それでも復旧できます。暗号資産ではそうではありません。

資金がオンチェーンで動いてしまえば、それで終わりです。チャージバックも、詐欺対応部門も、「取引を取り消す」ボタンもありません。取引所やマイニングプラットフォームへの一度の成功したログインで、数分以内に残高が空になる可能性があります — 出金アドレスが置き換えられ、API キーが作成され、ログイン通知を見るより前に残高が送り出されます。

この不可逆性こそが、あなたの暗号資産スタックの全アカウントで 2FA を譲れないものにする理由です:取引所、NoxHash のようなクラウドマイニングプラットフォーム、オンライン構成要素を持つウォレット、そして — 最も重要なことに — それらすべての上流に位置するメールアカウントです。第二の要素により、盗まれたパスワード単体ではほぼ役に立たなくなります。攻撃者はあなたが物理的に所有する何かも必要とし、それを遠隔から盗むのは格段に難しいのです。

2FA の三つの種類 — 実際のところ何か

あらゆる 2FA 実装は三つのカテゴリのいずれかに属します。これらは同等ではありません。最悪と最良の差は、「攻撃者を遅らせるかもしれない」と「設計上フィッシング耐性がある」の差です。

「あなたが入力するコード」から「暗号学的に署名するデバイス」へのシフトが、真のセキュリティの飛躍です。TOTP は SMS よりはるかに優れ、ハードウェアキーは TOTP よりはるかに優れています — しかし各ステップアップはセットアップコストと使用時の摩擦を増やします。目標はすべてに一つの種類を選ぶことではなく、種類をアカウントの価値に合わせることです。

SMS vs TOTP vs ハードウェアキー — 横並び比較

セキュリティの結果を実際に決める属性について、三種類がどう比較されるかを以下に示します。各行の「勝者」列はハイライトしています。

実用的な結論:サポートしているすべての暗号資産アカウントのデフォルトとして TOTP を使ってください。残高が最大のアカウント — メールと最大の取引所 — には、TOTP の上に、または TOTP の代わりにハードウェアキーを追加してください。SMS は完全に避け、SMS 2FA しか提供しないサービスがあれば、そこには非常に少ない価値しか置かない合図と受け取ってください。

TOTP アプリの選び方

TOTP があなたの 2FA の大部分を担うことになるので、選ぶアプリは重要です。いずれも同じ 6 桁のコードを生成しますが、バックアップの扱い、デバイス間の移行、そしてスマートフォンを湖に落としてしまったときに何が起こるかで違いが出ます。

推奨:ゼロから始めるならばアプリの設定に抵抗がなければ、自分で管理する暗号化ローカルまたはクラウドバックアップとともに Aegis(Android)または 2FAS(iOS)を使ってください。摩擦ゼロを望むなら、Google アカウント同期付きの Google Authenticator でも問題ありません — ただし、TOTP コードの安全性が今や Google パスワードに紐づいていることは意識してください。どのアプリを選ぶにしても、recovery code こそが本当の安全網です。

Recovery code — デバイス紛失時の安全網

2FA を提供する正規のサービスはどれも、設定時にrecovery code も渡してくれます。これはスマートフォンやキーへのアクセスを失った場合に 2FA コードの代わりに入力できる、使い切りの文字列です。「スマートフォンを壊してしまった」と「アカウントへのアクセスを永久に失った」の間に立つ唯一のものです。

Recovery code はウォレットの seed phrase と同じ注意で扱ってください — 露出した場合の影響が似ているからです。あなたの recovery code とパスワードを持つ者は、2FA を完全に迂回できます。

最も価値の高いアカウントのためのハードウェアセキュリティキー

普通のアカウントには TOTP で十分です。侵害が本当のお金を失うことにつながり得るアカウント — メインのメール、相応の残高がある大手取引所、Google または Apple ID、大規模なクラウドマイニングスタック — には、ハードウェアセキュリティキーの追加を検討してください。

YubiKey または SoloKey は一度の購入で約 $30–60、数年使え、FIDO2/WebAuthn をサポートするあらゆるサイトで動作します。重要な特性はフィッシング耐性です:ブラウザが登録した本物のドメインを指しているときにのみ、キーはログイン要求に署名します。そっくりなドメイン上の完璧に見えるフィッシングサイトは単に失敗します — キーが静かに自動で拒否するからです。TOTP はこれをできません、ユーザーが要求してきたどのページにもコードを入力してしまうからです。

購入前のいくつかの実用的な注意点:

• 2 本買ってください。1 本はメイン、1 本は別の物理的な場所のバックアップです。唯一のキーを失い、かつ recovery code も失えば、あなたはロックアウトされます。
• すべてのサイトに両方登録してください。メインを失ってからでは遅いです。バックアップは事前に登録してこそ役立ちます。
• 頼る前に暗号資産プラットフォームの対応状況を確認してください。取引所によるハードウェアキー対応は改善していますが一貫していません。大手でも対応するもの、しないものがあります。前提する前に、プラットフォームのヘルプセンターで「security key」や「WebAuthn」を検索してください。
• まずメールを守ってください。あなたのメールは、他のあらゆるアカウントのすべてのパスワードリセットの上流にあります。メールに対するハードウェアキーは、ある意味どの単独の取引所のキーよりも価値があります。

全体を静かに崩してしまう、よくある 2FA の間違い

これらの間違いはどれも同じ失敗の一形態です:複数の要素を単一の侵害点にまとめてしまうこと。どの場合も修正方法は物理的または論理的な分離です — 異なる端末、異なる保管場所、異なる信頼ドメイン — ひとつを侵害しても他を渡さないようにします。

よくある質問