パスワードマネージャーと暗号資産：保存してよいもの、絶対に保存してはいけないもの

パスワードマネージャーは取引所やメールのパスワードを保管するには適した場所ですが、シードフレーズや秘密鍵を置く場所ではありません。これらはオフラインに保つべきです。手に入れた人は誰でも、あなたの暗号資産を永久に支配できてしまうからです。正しく使えばパスワードマネージャーは暗号資産アカウントを大幅に安全にしますが、何でも入れる金庫として使うと単一障害点になりかねません。

暗号資産の盗難の多くは、ブロックチェーンが破られることではなく、アカウントの乗っ取りや秘密情報の窃取から始まります。このガイドでは、攻撃者がパスワード保管庫とその中の秘密情報をどう狙うのか、何を保存し何を入れないべきか、そして問題が起きたときに何をすべきかを解説します。

保存してよいもの、絶対に保存してはいけないもの

基本となる考え方：パスワードマネージャーが守るのは、他にも安全装置（出金の待機期間、2FA、サポートチーム）があるアカウントへのアクセスです。シードフレーズには安全装置がまったくありません。その理由はシードフレーズとは何か、リカバリーフレーズの仕組みをお読みください。

攻撃者が保管庫と秘密情報を狙う手口

攻撃経路を理解すると、上記のルールの意味がわかります。

1. 1情報窃取型マルウェア（インフォスティーラー）。 偽アプリ、クラック版ソフトウェア、悪意あるブラウザ拡張機能が、パソコンからブラウザデータ、保存されたパスワード、ファイルをコピーします。保管庫のロックが解除されていたり、シードフレーズがメモに保存されていたりすれば、数秒で盗まれてしまいます。
2. 2マスターパスワードのフィッシング。 偽のログインページや偽の「保管庫セキュリティ警告」メールが、パスワードマネージャーへのサインインを求めてきます。
3. 3提供企業の情報漏えい。 パスワードマネージャーの提供企業が侵害を受け、暗号化された保管庫データがコピーされた事例があります。暗号化があなたを守れるのは、マスターパスワードが推測に耐えられるほど強力である間だけです。
4. 4クリップボードの乗っ取り。 マルウェアがクリップボードを監視し、コピーしたウォレットアドレスを攻撃者のものにすり替えたり、コピーしたシードフレーズを盗み取ったりします。
5. 5保管庫内のキーワード検索。 保管庫に侵入した攻撃者は、「seed」「mnemonic」「wallet」「private key」といった単語を検索します。

仮想の事例

以下は説明のための複合的な例であり、実際の事件ではありません。Alexが「MetaMask seed」というタイトルのメモも含めて、すべてを1つのパスワードマネージャーに保存していたとします。Alexは無料の「暗号資産価格トラッカー」拡張機能をインストールしますが、それは悪意あるものでした。拡張機能はAlexが入力したマスターパスワードを盗み取り、保管庫をエクスポートします。攻撃者は「seed」で検索し、ウォレットをインポートして、1時間以内に中身を空にしました。Alexの取引所アカウントが無事だったのは、出金にハードウェアセキュリティキーが必要だったからにすぎません。2つの結果を分けたのは、それぞれの秘密情報がどこに保管されていたかでした。

保管庫やアカウントが狙われている警告サイン

• パスワードマネージャーや取引所アカウントの「確認」や「再同期」を求めるメール。
• 自分では行っていないログイン通知や2FAリクエスト。
• 取引所だと思っているサイトで、パスワードマネージャーが自動入力を拒否する。
• インストールした覚えのない新しいブラウザ拡張機能。
• メールアカウントの予期しないパスワードリセットメール。

暗号資産向けにパスワードマネージャーを安全に設定する方法

1. 1信頼できるマネージャーを選ぶ。 セキュリティモデルを公開し、エンドツーエンド暗号化を備えたものを、公式サイトまたはアプリストアからのみダウンロードしましょう。
2. 2強力なマスターパスフレーズを作る。 他では使っていない複数のランダムな単語で構成し、緊急時の復旧用に書き留めて安全な場所に保管しましょう。
3. 3強力な二要素認証を有効にする。 保管庫には、SMSではなくハードウェアセキュリティキーや認証アプリを使うのが理想です。
4. 4固有のパスワードを生成する。 すべての取引所、メールアカウント、暗号資産サービスごとに作りましょう。他のすべてをリセットできるメールを最優先に。
5. 5自動入力をフィッシングチェックに使う。 認証情報が提案されない場合は、何かを入力する前にURLを確認しましょう。
6. 6ウォレットの秘密情報は入れない。 シードフレーズはオフラインで保管します。保管庫にメモを残したい場合は、バックアップの保管場所だけを書き、内容は書かないでください。
7. 7保管庫を自動ロックする。 短時間操作がないときや、デバイスがスリープしたときにロックされるよう設定しましょう。

より幅広い習慣については、強固な暗号資産セキュリティ習慣の作り方と暗号資産ユーザーのためのメールアカウントセキュリティのガイドをご覧ください。

保管庫が侵害された場合の対処法

1. 1中にあった秘密情報はすべて漏えいしたと考える。 シードフレーズが保存されていた場合は、新しいシードフレーズを持つ新しいウォレットへ直ちに資金を移しましょう。ウォレットが侵害されたときにすぐやるべきことに従ってください。
2. 2まずメールのパスワードを変更し、 次に取引所のパスワードを、クリーンなデバイスから変更します。
3. 3二要素認証をリセットし、 取引所で見覚えのないセッションやAPIキーを取り消します。
4. 4出金先アドレスのホワイトリストを確認し、 自分で追加していないアドレスがないか調べます。
5. 5影響を受けたデバイスをスキャンまたは再インストール してから再び使いましょう。
6. 6フィッシングサイトや詐欺アドレスを報告する。 該当するサービスと、当サイトの詐欺報告フォームから報告してください。

まとめ

パスワードマネージャーは、適切なものを入れている限り、暗号資産ユーザーが持てる最高のセキュリティツールの1つです。固有のアカウントパスワードの管理と、自動入力によるフィッシングチェックに活用し、強力なパスフレーズとハードウェアを使った二要素認証で保護しましょう。そしてシードフレーズと秘密鍵は、マルウェアや情報漏えいが届かないオフラインに保管してください。