仮想通貨口座の二段階認証（2FA）とパスキー

仮想通貨口座の二段階認証（2FA）には、サービスが対応していればパスキーかハードウェアのセキュリティキーを、対応していなければ認証アプリを使い、SMS コードは最後の手段にとどめます。違いはフィッシングにあります。パスキーやセキュリティキーは本物のウェブサイトに結びついており、偽サイトではそもそも動きません。一方、6 桁のコードは、本物のページと同じくらい簡単に偽のページにも入力できてしまいます。

二段階認証の順位

SMS コード：最も弱い。SMS で届くコードは SIM スワップで盗まれることがあります。攻撃者が携帯電話会社を言いくるめ、あなたの番号を自分の SIM に移させる手口です。暗号資産の保有者は、その格好の標的です。SMS はないよりはましですが、失いたくないものを守らせるべきではありません。

認証アプリ（TOTP）：良い。スマートフォンに保存された秘密情報から、アプリが 30 秒ごとに新しい 6 桁のコードを生成します。携帯電話会社が関わらないので、SIM スワップは通用しません。パスワードを盗まれただけでは足りなくなりますが、偽サイトがコードを尋ね、その 30 秒のうちに本物のサイトへ中継することはまだできます。設定時のコードはオフラインで保存しておきましょう。スマートフォンをなくしたとき、それが再びログインする手段になります。

ハードウェアのセキュリティキー：強い。FIDO2 規格を使う小さな USB または NFC のキーで、タップしてサインインします。キーはどのウェブサイトが要求しているかを確認するので、そっくりなドメインは何も得られません。キーを 2 本登録し、予備は安全な場所に保管しましょう。

パスキー：強く、しかも簡単。パスキーは同じ FIDO の考え方を、スマートフォン、パソコン、パスワードマネージャーが保持するもので、指紋、顔、端末の PIN で解除します。パスワードを完全に置き換えることができ、本物のサイトのドメインに結びつけられ、偽のページに入力するものが何もありません。仕組みは FIDO Alliance が説明しています。サービスがパスキーに対応しているなら、使いましょう。

同じくらい大事な設定

• 出金先アドレスのホワイトリスト。多くの取引所では、事前に追加したアドレスにだけ出金を許可でき、新しいアドレスには待機期間が設けられていることもよくあります。誰かがアカウントに入り込んでも、すぐに自分宛てにコインを送ることはできません。
• メールアカウント。パスワードの再設定はメールに届くので、同じ守りが必要です。強力で使い回さないパスワードと、パスキーかセキュリティキーです。
• フィッシング対策コード。取引所によっては、本物のメールすべてに表示される言葉を設定できます。それがないメールは、その取引所からのものではありません。
• 使い回さないパスワード。パスワードマネージャーを使い、サイトごとに別のパスワードにすれば、1 つのサイトが破られてもほかは開きません。
• API キー。ボットやトラッカーのために取引所の API キーを作ったなら、もう使わないものは削除し、どのキーにも出金権限を与えないでください。

設定の順番

• まずメール。ほかのすべての再設定はメールを経由するので、メールアカウントに強力で使い回さないパスワードと、パスキーかセキュリティキーを設定します。
• 次に各取引所。対応していればパスキーかセキュリティキーを、なければ認証アプリを追加します。
• バックアップコードを保存する。各サービスが表示するコードを紙に書き、ほかのオフラインのバックアップと一緒に保管します。
• SMS を外す。より強い方法が使えるようになったら、サービスが許す範囲で、予備手段としての SMS を外します。
• 出金先ホワイトリストを有効にし、自分のウォレットのアドレスを追加します。

2FA が守らないもの

2FA が守るのはアカウントです。取引所、メール、トラッカー。自分で管理するウォレットには何の効果もなく、そこで意味を持つ鍵はシードフレーズだけです。その保管方法をご覧ください。そして、だまされて行う送金の承認も止められません。その手口はよくある仮想通貨詐欺にまとめています。

このガイドは仕組みを説明するものであり、金融・投資・税務上の助言ではありません。誤りを見つけたら hi@perly.io までご連絡ください。訂正します。