2023年、カスペルスキーの研究者たちが、まともに見えるオンラインマーケットプレイスで買われた Trezor のハードウェアウォレットを分解した。その端末は箱まで含めて本物と見た目がまったく同じで、動作も正常だった。書き写すための単語の並びを表示するところも、本物とそっくりだった。ただし、その並びは端末が無作為に引いたものではなかった。攻撃者があらかじめ選んでおいたもので、あとは被害者がそこに資金を預けるのを待つだけだったのだ。詳しい分析はカスペルスキーのブログに公開されている 。
この一件が主題のすべてを言い表している。被害者は正しい製品を、正しいブランドから、正しい意図で買っていた。失敗したのはハードウェアではなく、その周りにある手順のほうだった。
コールドウォレットは買ってくる物ではない。実践する手順であり、ハードウェアはその一部品にすぎない。
以下に、もっとも簡単なものからもっとも要求の厳しいものまで、五つのセキュリティ段階を示す。どれもそのまま使える。段階が上がるたびに問いは同じだ。前の段階は何を守れていなかったのか、そしてそのリスクは本当にあなたに関係するのか。
専門用語なしで言うコールドウォレットとは
暗号資産はスマートフォンの中にも、パソコンの中にも保管されていない。それは公開された台帳、すなわちブロックチェーンに記録され、その台帳は何千台もの機械に複製されている。台帳はある額の資金をアドレスに結びつける。アドレスとは、公開された口座番号の役割を果たす長い文字列だ。
その資金を動かすには、自分が持ち主であることを証明しなければならない。その証明は、あなただけが持つ秘密から生まれる。それが秘密鍵だ。秘密鍵はどこにも送られない。支払い指示に暗号学的な署名を付すために使われ、ネットワークはその署名が該当するアドレスに確かに対応することを検証する。
したがってセキュリティのすべては一点に懸かっている。誰が秘密鍵を見たか、である。
取引所ではそれはあなたではない。プラットフォームが鍵を持ち、あなたはそのデータベースの一行を持つ。破綻すれば、侵入されれば、規制当局が口座を凍結すれば、その一行は大した価値を持たない。十年前から言われてきた言葉の意味はここにある。鍵が自分のものでなければ、資金も自分のものではない。
スマートフォンのウォレットアプリでは鍵は確かにあなたのものだが、それはインターネットにつながった端末で生成され、その端末の上で生き続ける。現代のスマートフォンは誰も監査していない何万行ものコードを実行しており、製造元自身も知らない脆弱性にさらされ続けている。何も起きないかぎり、鍵はそこで安全だ。
コールドウォレット、文字どおり冷たい財布は、この論理をひっくり返す。秘密鍵はインターネットにつながっていない端末で生成され、その端末を決して離れない。行き来するのは署名すべき取引が入り、署名済みの取引が出ていく、それだけだ。あなたのつながったパソコンを完全に掌握した攻撃者でも、通り過ぎる取引は見えるが、それに署名する鍵は決して見えない。
意味を持つ区別はこれだけだ。残りはすべて、この区別を迂回しにくくしていく作業にすぎない。
ホットウォレットとコールドウォレットの違い
ホットウォレットとは、秘密鍵がインターネットにつながった端末で生成または保管されるウォレットのことで、そのため常に遠隔攻撃にさらされる。コールドウォレットはオフラインで鍵を生成し、オフラインで署名するので、秘密鍵がつながった端末に触れることはない。もっとも多い混同は、OS の役割をめぐるものだ。MetaMask のようなアプリを入れたスマートフォンは、堅牢化され完全に最新の状態にあってもホットウォレットのままである。重要なのは端末の全般的な安全性ではなく、鍵が署名に使われるまさにその瞬間にネットワーク接続が存在するかどうかだ。つながった端末を堅牢化すれば侵害の確率は下がるが、ウォレットが属する分類は変わらない。
2026年の Coldcard 事件が教えること
各段階に入る前に一点はっきりさせておく必要があり、最近の出来事がそれを避けられないものにしている。
2026年7月末、メーカーの Coinkite は、2021年3月に自社 Coldcard のファームウェアへ持ち込まれた欠陥が一部のシード生成に影響していたことを明らかにした。意図的な代替機構ではなかった。新しい暗号ライブラリへ移行する際の統合ミスにより、ソフトウェア側の予備生成器を無効にするはずのマクロが期待どおりに働かず、本来使われるはずのハードウェア生成器が実際には迂回され、プラットフォーム標準の、予測可能なソフトウェア生成器が使われていたのである。生成されたフレーズは完全に無作為に見えたが、Coinkite が公表した暫定的な見積もりによれば、その実際のエントロピーは本来の128ビットではなく、Mk2 と Mk3 でおよそ40ビット、Mk4、Mk5、Q でおよそ72ビットまで落ちていた。Coinkite が公表した技術資料 がその仕組みを正確に説明している。
TRM Labs の分析 によれば、2026年7月30日から四波にわたって、攻撃者は5200を超えるアドレスに散らばったおよそ1816ビットコインを抜き取った。彼らは一度も被害者の端末に、物理的にも遠隔でもアクセスする必要がなかった。総当たりで見つけられるほど弱くなっていた秘密鍵を、ただ計算し直しただけである。
要点はここにある。この被害者たちは何ひとつ誤りを犯していない。シードは一度も共有せず、端末は一度もつながず、物理バックアップも申し分なかった。それがまったく役に立たなかったのは、欠陥が鍵を作る瞬間にあったからだ。守るべきものが存在するより前のことである。
この一件は Coldcard のハードウェアも、ハードウェアウォレットという分類も否定しない。これは特定のバグであり、第一波の翌日には公開されたファームウェアで修正されている。それでも新しいシードへの移行は必要だ。更新は、すでに生成された鍵を直してはくれないからである。だがこの件は、以下に続くすべてに当てはまる限界を照らし出す。本稿の五段階は、鍵が存在するようになった後にどう守るかを説明するものであり、それ自体で鍵が最初に正しく生成されたことを保証する段階はひとつもない。後述する SeedSigner のような開かれた解の価値はまさにそこにある。生成コードが公開されていて誰でも検証できるのに対し、閉じたファームウェアは欠陥を五年も隠しうるのだ。
段階1：紙の上のシードフレーズ
秘密鍵を覚えることは人間には不可能だ。ほぼすべてのウォレットが採用する BIP39 規格がこの問題を回避する。
ウォレットは非常に大きな乱数を引き、それを2048語の固定辞書から取った平易な単語の並びに翻訳する。これがシードフレーズ、あるいは復元フレーズだ。12語は128ビットの乱雑さに、24語は256ビットに対応する。ウォレットはこのフレーズから、あなたのすべての秘密鍵とすべてのアドレスを数学的に導き直す。
そこから導かれる中心的な帰結はこうだ。フレーズこそがウォレットである。端末が焼けても、ほかの互換ウォレットに単語を入力すれば資金はそのまま戻ってくる。誰かがその単語を読めば、その人にはほかに何もいらない。あなたの端末も、暗証番号もである。
このフレーズを推測不可能にしているのは、含まれる乱雑さの量であって、見かけの長さではない。パスワードと同じ理屈で、エントロピーとあなたのセキュリティを支える科学 についての記事で詳しく述べた。
実際には、単語を手書きで、順番どおりに番号を振って、いかなる端末も通らない媒体に書き留める。写真も、スクリーンショットも、テキストファイルも、同期するパスワード管理ツールも、自分宛てのメールも決してだめだ。オンラインサービスに触れるものはすべてフレーズをオフラインの領域から連れ出してしまい、その時点でコールドウォレットは存在しなくなる。
この段階が守らないもの。 紙は燃えるし、水濡れに耐えず、色褪せ、なくなる。間違った引き出しを開けた者に数秒で読まれる。何より、それは単一障害点を構成する。この言葉は本稿を通じて繰り返し現れる。ひとつ失われるか侵害されるだけで、すべてを持っていかれてしまう要素のことだ。
すぐにできる改善は安上がりだ。フレーズを金属バックアップに刻む。打刻式やタイル差し込み式のステンレス板で、Cryptosteel や Billfodl がもっともよく知られた例である。鋼材は住宅火災にも浸水にも耐える。これは偶発的な破損を解決するが、盗難は解決しない。
段階2：市販のハードウェアウォレット
段階1は、あなたがどこかでシードフレーズを生成したことを前提としている。書き写す前にスマートフォンのアプリで生成したのなら、そのフレーズはつながった端末の上に存在したことになり、紙はすでに露出した秘密を控えただけということになる。
ハードウェアウォレットはこの問題を根から断つ。ブラウザも第三者製アプリも持たない小さな専用端末で、その唯一の仕事はシードフレーズを生成し、セキュアチップの中に保管し、取引に署名することだ。パソコンにつなぐが、鍵はチップから決して出ない。パソコンが署名すべき取引を送り、端末は金額と送り先アドレスを自分の画面に表示し、あなたがボタンで承認すると、端末が署名を返す。
この画面が肝心な点であり、しばしば誤解されている。パソコン上のマルウェアが送信の瞬間に送り先アドレスをすり替えたなら、端末の画面には本当の送り先、つまり攻撃者のアドレスが表示される。それがあなたの最後の独立した確認地点だ。毎回、必ず読むこと。
定番は Ledger 、Trezor 、そしてビットコインに特化した Coldcard である。
入手経路への警戒
ここで本稿冒頭の偽造ウォレットに戻る。
購入はメーカーのサイトから直接、あるいはメーカーが公式に列挙する販売店からに限る。総合マーケットプレイスでは決して買わない、中古も決して買わない、贈られた端末も決して使わない。工場を出てあなたの手に届くまでのあいだに、仲介者が端末を開け、中身を入れ替え、きれいに閉じ直すことができる。受け取ったら、メーカーが公開している真正性確認の手順に従って、封印と開封痕がないことを確認する。
とりわけ、もっとも一般的な攻撃をそれ単体で無力化する規則を覚えておくこと。新品のハードウェアウォレットは、あなたにシードフレーズを生成させなければならず、出来合いのフレーズを渡してきては決してならない。フレーズがすでに箱の中に書かれて届く端末や、渡されたフレーズの入力を求めてくる端末は、侵害されている。例外はない。
この段階が守らないもの。 あなたはいまや、乱数生成器の品質と、端末に組み込まれたソフトウェアであるファームウェアの完全性について、メーカーを信頼している。このファームウェアはたいてい少なくとも部分的にはプロプライエタリで、あなたの側からは検証できない。合理的な信頼であり、圧倒的多数の人にとって正当な信頼だが、それでも信頼である。そしてシードフレーズは依然として単一障害点のままだ。
段階3：専用のエアギャップ機
どのメーカーも信頼したくないのであれば、汎用のハードウェアの上で、開かれ監査されたソフトウェアを使い、すべて自分でやるという道が残っている。これがエアギャップ機の原理だ。文字どおり空気の層で隔てられた、ネットワークに一度もつながったことがなく、今後もつながることのないパソコンである。
- この用途だけに充てる機械を用意する。古いノートパソコンで十分で、無線チップが内蔵されていない機種が理想的だ。
- 暗号学的なフィンガープリントを検証済みのイメージから、たとえば一般的な Linux ディストリビューションといった清潔なシステムを入れ直す。
- できるだけ低い層でネットワークを無力化する。Wi-Fi カードを物理的に取り外すこと、多くは蓋の下に差さった小さなカードだが、それは設定で無効にするより優れている。イーサネットケーブルは決して挿さない。ソフトウェアによる無効化はソフトウェアによって取り消せるが、存在しない部品は何も取り消せない。
- 定番のソフトウェアウォレット、Sparrow か Electrum を、インストーラを USB メモリで運び、署名を検証したうえで導入する。
- その機械の上でオフラインでシードフレーズを生成し、段階1に従ってバックアップする。
送金するときの流れは標準的な形式を通る。PSBT（Partially Signed Bitcoin Transaction）、すなわち部分的に署名された取引だ。これは署名を除く取引の全詳細を含むファイルである。つながったパソコンで取引を用意してこのファイルを書き出し、USB メモリか、画面に表示してカメラで読み取る QR コードでオフライン機へ運ぶ。オフライン機がそれに署名し、署名済みのファイルを同じ経路で持ち帰り、つながったパソコンがそれをネットワークへ流す。
二つの世界のあいだの唯一の通路は、あなたが手で運ぶファイルだ。遅いが、まさにそこに価値がある。
この段階が守らないもの。 USB メモリがあなたの弱点になる。それはコードを持ち込みうる能動的な媒体だ。またオフラインのシステムは依然として汎用 OS のままで、規模が大きく監査しにくい。規律も効いてくる。更新のために一度だけネットワークケーブルを挿したいという誘惑が、仕組み全体を一気に台無しにする。
段階4：オープンソースの自作署名機、SeedSigner
SeedSigner は段階3の論理をその結論まで押し進める。あなた自身が組み立てる最小限の端末で、その挙動は検証可能であり、何も保持しない。
中心となる部品は Raspberry Pi Zero のバージョン1.3 だ。この指定は些細な話ではなく、仕組みの核心である。Pi Zero 1.3 はハードウェアの水準で Wi-Fi も Bluetooth も持たない。無線チップが基板上に存在しないのだ。Raspberry Pi 5 でも、Pi Zero W でも、Pi Zero 2 でもない。それらはいずれも無線接続を積んでいる。公式文書は明確で、ネットワーク隔離の保証がもっとも高いのはバージョン1.3である。
ソフトウェアによる無効化との違いは根本的だ。設定で切られた Wi-Fi は、別のソフトウェアが裏切りうるソフトウェアの約束に乗っている。基板に一度も半田付けされていないチップは、いかなるコードでも、いかなる脆弱性でも、いかなる仕掛けられた更新でも再有効化できない。もはや設定を信頼するのではなく、物理的な不在を確認するのだ。
残りは三つの部品でできている。ボタン付きの1.3インチ240×240ピクセルの WaveShare 画面、Pi Zero 対応のカメラモジュール、そして microSD カード。部品代は50ドル未満、半田付けは一切不要だ。
やり取りはすべて、双方向とも QR コードを通る。つながったウォレット、たとえば Sparrow が PSBT を QR コードとして表示し、取引が大きければアニメーションになる。SeedSigner のカメラがそれを読む。端末が取引の詳細を自分の画面に表示し、あなたが承認すると署名し、続いて署名済みの取引を今度は QR コードとして表示するので、それをつながったパソコンのウェブカメラで撮る。データケーブルもなし、USB メモリもなし、ネットワークもなし。唯一の通路は光である。
端末はさらにステートレス、つまり状態を持たない。鍵を恒久的に保存することは決してない。シードフレーズは各セッションの冒頭で入力され、使用中はメインメモリの上だけに生き、電源を切れば消える。microSD カードにはソフトウェアしか入っていない。電源の切れた SeedSigner を盗んだ攻撃者が盗んだのは、十五ユーロの Raspberry Pi にすぎない。
開かれていることの代償。 信頼すべきメーカーはもういないが、何かを保証してくれるメーカーももういない。microSD カードにソフトウェアを書き込む前に、その真正性を自分で検証しなければならない。プロジェクトは GitHub のリリースページ で、イメージファイルをマニフェストおよびそのマニフェストの署名とともに公開している。検証は、公開が確かに開発者から出ていることを証明する GPG 署名と、それ以降ファイルが改変されていないことを証明する SHA256 のフィンガープリント照合を組み合わせる。イメージをマウントするより前に行わなければならない。開いた時点でイメージを書き換えて照合を失敗させるシステムがあるからだ。検証が通らなければ、書き込まない。
機能面の限界として挙げておくべき点：SeedSigner はビットコインのプロジェクトであり、ほかのチェーンには対応しない。
段階5：Qubes OS 上の Vault 仮想マシン
段階3は抜かれたケーブルによって二つの世界を隔てる。それはあなたが日々手作業で維持する保証であり、あなたの規律に依存している。
Qubes OS が提示するのは別のものだ。システムのアーキテクチャによって課される分離である。Qubes はあなたの活動を qube と呼ばれる別々の仮想マシンに区画化し、ハイパーバイザーによって隔離する。ほかのシステムとの位置づけはセキュリティ志向のオペレーティングシステム比較 で扱った。
Vault 仮想マシンはネットワークインターフェースを一切持たずに作られる。これは見せかけの設定ではない。仮想マシンは仮想ネットワークカードをそもそも持たず、ドライバもなく、スタックもなく、有効化するものが何もない。中でどんなコードが動こうと、パケットを送出する物理的手段がないのだ。シードフレーズを保持し、Sparrow をオフラインで動かすのはこの仮想マシンである。
もう一台の仮想マシンは今度はつながっており、公開鍵だけを使って Sparrow を監視専用モードで動かす。残高と履歴は見え、取引を組み立てることもできるが、署名することはできない。
受け渡しは内部ツール qvm-copy を使い、ファイルのみで行う。未署名の PSBT がつながった仮想マシンから Vault へ渡り、Vault が署名し、署名済みのファイルが同じ仕組みで戻る。共有ネットワークもなし、共通フォルダもなし、自動クリップボードもなし。
これが単純な隔離パソコンより優れている理由は二つある。まず、隔離がもはやあなたに依存しない。従来のエアギャップ機では、エアギャップはあなたの振る舞いの属性であり、誰もケーブルを挿さないかぎり保たれる。Qubes ではハイパーバイザーが仮想マシンの下で隔離を強制するので、中で動くものの手は届かない。Vault の中で全権限を得たマルウェアであっても、操作できるネットワークハードウェアはやはり存在しない。次に可逆性だ。qube はテンプレートに基づいており、侵害が疑われるなら仮想マシンを破棄し、数分できれいに作り直せる。専用パソコンでは、同じ疑いが全面的な再インストールを強いる。
この段階が守らないもの。 これは本稿でもっとも堅牢な構成だが、最初の段階の弱点をそっくり残している。シードフレーズは依然としてひとつきりなのだ。バックアップを焼く火災、あなたに加えられる物理的な強要、操作の誤り、そのどれかですべてを失うか、すべてを取られる。ソフトウェアによる隔離は、どれほど完璧でもそこを変えない。
マルチシグ：問題の性質を変える
これまでの五段階はいずれも同じもの、すなわち単一の秘密の保護を改善している。マルチシグ、つまり複数署名は別の問いを立てる。単一の秘密を持つのをやめたらどうか、というものだ。
その原理はネットワークの規則に書き込まれている。資金を鍵ひとつに結びつけるかわりに、しきい値つきの鍵の集合に結びつける。3のうち2なら鍵は三つ存在し、送金には二つが要る。5のうち3なら鍵は五つ存在し、三つが要る。各鍵は別々の端末で、できれば性質の異なる端末で独立に生成され、別々の場所に保管される。自宅に Coldcard、信頼できる身近な人のところに SeedSigner、銀行の貸金庫に鍵ひとつ、といった具合だ。
これが変えるところは明快だ。バックアップをひとつ見つけた空き巣は何も得られない。ある場所を焼く火災はあなたの資金を焼かず、残った鍵で再構成できる。あるメーカーで見つかった欠陥だけでは足りない。ほかの鍵は別のところから来ているからだ。物理的に脅してくる者は、あなたが単独でその場では要求されたものを出せないという事実にぶつかる。
単一障害点は、喪失に対しても盗難に対しても、二つの方向で同時に消える。Qubes 構成を含め、これまでのどの段階もこの結果は得られない。
代償は運用上の複雑さだ。バックアップすべきはシードだけでなく、ウォレットディスクリプタもである。これは構成の構造とそれを成す公開鍵を記述したファイルだ。これがないと、必要な数のシードがそろっていても資金を取り戻すのは非常に難しくなる。記録の不十分なマルチシグは、よく使いこなされた単純なハードウェアウォレットより危険である。
すべての段階に共通する規則
議論の大半はハードウェアが占めるが、実際の損失は多くの場合ほかのところから来る。
バックアップを地理的に分散させる。 同じ家の二つの引き出しにある同じシードの二部は、火災や水濡れの前では一部にすぎない。リスクは盗難だけではない。場所を分けること。ただし、写しをひとつ増やすたびに喪失への耐性は上がり、盗難への耐性は下がることを念頭に置く。これは折り合いの問題であり、最適な設定というものはない。
少額で試す。 数ユーロ相当を送って着金を確認し、そのうえでウォレットを消去してバックアップから丸ごと復元する。着金がうまくいっても復元については何も証明しないし、いつか自分を救うのは復元のほうだ。書き写しの誤り、順番の入れ替わり、不完全なバックアップ。どれもその瞬間にしか判明せず、十ユーロが賭かっているうちに気づくほうがよい。
口を慎む。 技術的なセキュリティは、ソーシャルエンジニアリングにも狙い撃ちの物理的な盗難にも何の効果もない。暗号資産を持っていることを公に口にしないこと。ソーシャルメディアでも、レストランでも、疎遠な知人に対してもだ。世界最良の構成も、何か取れるものがあると知られている人は守れない。
承継を用意する。 これはもっとも軽んじられている点であり、しかも取り返しがつかない。よく守られたコールドウォレットは、あなた以外の誰もそこに入れないように設計されている。死亡や判断能力の喪失が起きると、その性質は相続人に牙をむき、資金は決定的に失われる。いくつかの道がある。暗号化した文書を信頼できる第三者に託すか公証人に預ける、相続人が鍵をひとつ持つマルチシグ構成にする、あるいは生存の兆候が絶えたときに情報を解放する dead man switch のような仕掛けを置く。いずれも国によって異なる法務上・税務上の帰結を伴う。技術的な意図を文書に残し、実装は法律の専門家に整えてもらうこと。
これが語る Arpokrat の姿勢
この五段階を貫く筋は、洗練の度合いが増していくことではない。検証できないまま信頼しなければならない相手の数が、段階的に減っていくことである。取引所は全面的な信頼を求める。ハードウェアウォレットはそれをメーカーひとつに縮める。SeedSigner はそれを、あなた自身が行う検証に置き換える。Qubes の構成は保証を振る舞いからアーキテクチャへ移す。マルチシグは、個別に見たどの要素からもそれを取り上げる。
これが当社の製品設計を支配する論理だ。約束に基づく保証は保証ではなく、表明にすぎない。構造的な保証は、それを築いた者が考えを変えても、命令を受けても成り立ち続ける。あなたの鍵を持たないサービスは、どれほど圧力をかけられても鍵を渡せない。Arpokrat Swap を支えているのはこの原理である。しかもこの問いは規制の枠組みが動くにつれてより具体的になる。2027年に予定されている Monero と Zcash への欧州の制限 についての分析が示すとおりだ。
結論
一般論としての「良いセキュリティ水準」は存在しない。存在するのは、あなたが持っているものと、あなたを合理的に狙いうる相手に見合った水準である。
メーカーから買ったハードウェアウォレットに数百ユーロ、シードは金属に刻んで自宅の外に保管する。これはまったく真っ当な構成だ。それだけで暗号資産保有者の圧倒的多数より上に立てるし、実際に損失を生んでいる筋書きから守ってくれる。そのために Qubes 上のマルチシグを必要とする人はいない。複雑な構成が正当化されるのは、金額が狙い撃ちの攻撃に見合うほど大きいときか、あなたの状況が特別な注意を引くときだ。
だから正しい問いは、どこまで上るかではなく、いまのあなたの前提のうちどれがもっとも脆いか、である。多くの人にとってそれはハードウェアではない。一か所にしまわれた唯一のバックアップ、一度も試したことのない復元、一度も考えたことのない承継、この三つだ。この三点は直すのに何の費用もかからず、段階をひとつ上げることよりも重い。