仮想通貨のセキュリティ対策｜初心者が今日やる設定と被害時の初動

口座開設・入金前後に確認する7項目

設定名や提供機能はサービスごとに違います。画面に同じ名前が見つからないときは、正規サイトのヘルプで「セキュリティ」「ログイン」「出庫」「通知」を確認してください。通知からログインせず、ブックマークや正規アプリから状態を確かめることが出発点です。本人が直前に始めた操作で、公式手順がメール確認を指定している場合だけ、送信ドメインと操作内容を照合して進みます。

1. 金融庁の登録一覧で法人名を照合する国内で暗号資産の売買・交換や顧客資産の管理を行う事業者を使う前に、ブランド名だけでなく運営法人を確認します。登録は安全性や価値の保証ではありません。仲介サービスでは、電子決済手段・暗号資産サービス仲介業の登録情報と所属する交換業者も確認します。自己管理ウォレットやdAppのすべてが交換業登録の対象という意味ではありません。
2. 公式URLを確認し、ブックマークする検索結果の上位や広告だけを根拠にしません。正規アプリは公式ストアで提供元を確認し、以後のログイン入口を固定します。
3. 先にメールアカウントを守るメールと口座には異なる、長く使い回さないパスワードとMFAを設定し、復旧用メール・電話、転送設定、ログイン中の端末に不審な変更がないか見ます。
4. 口座には、提供される中で強い認証を選ぶパスキーやFIDO対応があれば優先し、なければ認証アプリなどのMFAを使います。復旧コードは、ログイン端末とは別の安全な場所で管理します。
5. 通知と出庫制限を有効にするログイン、取引、出庫、出庫先変更の通知を受け取ります。出庫先の事前登録、変更後の待機時間、限度額を選べる場合は、自分の使い方に合わせます。
6. 端末とアプリを更新するOS・ブラウザ・アプリを更新し、画面ロックを設定します。非公式ストア、突然表示された更新通知、遠隔操作を求める相手は避けます。
7. 被害時の公式窓口を保存するログインできなくなってから探すと偽サポートに出会いやすくなります。正規サイトの問い合わせ先と、警察庁のサイバー相談窓口をブックマークします。

何が狙われ、誰が守るのかを切り分ける

「取引所保管か、自己管理か」だけで安全性は決まりません。交換業者が管理する部分、利用者が設定する部分、ネットワーク上で取り消しにくい操作を分けると、対策の抜けが見えます。

交換業者の被害歴、鍵の管理体制、補償、比較は暗号資産取引所の安全性比較が担当します。本稿では会社ランキングを作らず、利用者側の設定と操作に絞ります。

口座とメールを守る設定：2FAだけで終わらせない

1. パスワード再設定の入口になるメールから固める

取引口座のパスワードだけを変えても、メールを奪われると再設定リンクや通知を読まれます。メールと取引口座には、それぞれ異なる、長く使い回さないパスワードを設定します。複数の文字列を覚えきれない場合は、信頼できるパスワード管理機能を使い、管理機能自体の復旧方法も確認します。

不審なログインが疑われるときは、登録メール・電話、転送ルール、ログイン中の端末、アプリ連携も見ます。攻撃者側の連絡先へ変更されると、その後のパスワード変更だけでは追い出せないためです。

2. パスキーを使えるなら優先し、MFAの復旧も確認する

認証アプリとSMSのコードは、どちらも利用者が画面へ手入力するOTPで、フィッシング耐性はありません。SMSは電話番号の不正移管やSIM変更、メールのコードはメール口座の侵害にも影響されます。ただし、選べる追加認証がSMSだけでも、パスワード単独のままにはしません。コードは方式を問わず第三者へ共有しません。

認証方法を変える前に、予備端末、復旧コード、問い合わせ手順を確認します。機種変更の当日に旧端末を初期化すると、本人でもログインできなくなることがあります。復旧コードのスクリーンショットを同じスマートフォンに置くと、端末を奪われたときに認証と復旧手段を一緒に失います。

3. 通知で異常に早く気づく

ログイン、パスワード/MFA変更、取引、出庫、出庫先登録の通知を有効にします。身に覚えのない通知を見たら、メール内のリンクではなくブックマークした正規画面から履歴を確認します。通知先メールも乗っ取られている疑いがあるなら、別の安全な端末から先にメールを保護します。

出庫先アドレスの事前登録、登録直後の待機期間、日次限度額を提供するサービスもあります。普段外部送付をしない人は、利便性を少し下げてでも出庫の壁を増やす意味があります。機能の有無と名称は各社で違うため、正規ヘルプで確認してください。

フィッシングと偽サポート：見た目ではなく入口を固定する

偽サイトは、ロゴ、色、URLの一部、ログイン画面まで本物に似せます。送信元名や検索順位も真偽の証明にはなりません。警察庁と金融庁は、メールやSMSのリンクではなく、登録したブックマークや正規アプリから入る対策を案内しています。

急かされたら、三つだけ確認する

1. 入口は自分で開いたかメール、SMS、DM、広告、チャットのリンクから来たなら閉じ、ブックマークから開き直します。
2. 何を渡そうとしているか正当なサポートが、シードフレーズや秘密鍵を使って本人確認することはありません。OTPも相手へ伝えません。
3. 何を許可する署名か読めるかログインの署名に見えても、トークン移動の権限や注文を含む場合があります。対象、上限、期限が想定外なら承認しません。

送付・ウォレット接続・APIは、実行ボタンの前に確認する

暗号資産を外部へ送る前の6点

1. 資産名同じようなティッカーや名称を取り違えていないか、送付側と受取側で確認します。
2. 受取側が対応するネットワークネットワーク名が送付側と受取側で一致するか見ます。手数料が安いという理由だけで別ネットワークを選びません。
3. アドレス全文履歴に表示された似たアドレスを再利用せず、受取側の現在の画面から取得し、中間を含む文字列を照合します。
4. タグ・メモ等銘柄や受取サービスが指定する場合は、アドレスとは別に入力します。名称はmemo、tag、destination tagなど異なります。
5. 数量・最低入庫額・手数料小数点、送付後の数量、受取側の最低入庫額を確認します。手数料のために着金額が条件を下回る場合があります。
6. 可能なら少額で受取確認最低出庫額・最低入庫額・手数料を確認したうえで試し、着金を見てから本送付します。本送付時も宛先をもう一度照合します。

送付元サービスで処理中なら取消可能な場合がありますが、ネットワーク上で確定した後は送付元が一方的に取り消せないのが通常です。誤りに気づいたら追加操作をせず、tx hash（取引ID）と時刻を控えて、送付元・受取先の正規サポートへすぐ連絡します。交換業者間の送付可否や通知事項はトラベルルールの専門ガイドへ分けています。

「接続を解除した」だけでは、過去の承認が残ることがある

EVM系などトークン承認機能を持つウォレットでは、分散型アプリ（dApp）へ接続する操作と、トークン移動の承認（approval）を与える操作は別です。接続を切っても、オンチェーンの承認は自動で取り消されない場合があります。署名前に、ドメイン、チェーン、対象トークン、移動を許す相手、表示される上限や期限を読みます。内容を表示できない署名や、目的に比べて広すぎる権限は見送ります。

使い終わったサービスは、ウォレットの公式案内に従って不要な承認も確認します。取消にネットワーク手数料がかかる場合があります。署名を促す「確認ツール」自体が偽物である可能性もあるため、SNSのリンクではなく利用ウォレットの公式ヘルプから手順を探します。

APIキーは「作ったか覚えていない」状態を残さない

自動売買や資産管理アプリを使ったことがあるなら、口座のAPI管理画面で有効なキーを棚卸しします。使っていないキーは削除し、使うキーは必要な権限だけに絞ります。出庫権限、接続元IPの制限、期限を設定できる場合は用途と照合します。APIキーや秘密情報をチャット、メール、スクリーンショットで渡しません。APIの仕組みと権限の詳しい確認は暗号資産取引所APIの専門ガイドで扱います。

取引所保管と自己管理：安全性ではなく「復旧責任」で比べる

取引所に置く場合は交換業者が秘密鍵を管理し、利用者は口座認証と出庫確認を担います。自己管理ウォレットでは、利用者が秘密鍵、バックアップ、署名、復旧、承継まで担います。どちらか一方が、すべての人と状況で安全とは言えません。

シードフレーズは、端末パスワードとは役割が違う

端末PINやウォレットアプリのパスワードは、その端末内での操作を守るものです。シードフレーズや秘密鍵は、対応するウォレットまたはアカウントへ別の端末からアクセスできる情報です。サポート、取引所、確認サイト、知人へ共有せず、写真・クラウド・メール・チャットへの保存を避け、利用ウォレットの公式手順に沿ってオフラインで管理します。

バックアップは一つしかないと火災・水害・紛失に弱く、増やしすぎると盗難に気づきにくくなります。保管場所ごとの盗難・災害リスクを考えます。承継では、資産の存在、ウォレットの種類、公式の復旧手順、相談先を記した目録と、資産を動かせるシード・秘密鍵を分けて管理します。平時から第三者へシードを渡すことではありません。新しいウォレットへ大きな金額を移す前に、少額で送付・受取と復旧の流れを理解します。ウォレットの種類と保管方式は暗号資産ウォレットの選び方、鍵と署名の仕組みは秘密鍵・公開鍵・シードの基礎、承継の準備は暗号資産の相続ガイドへ分けています。

被害や不審な操作に気づいたときの初動

状況によって優先順位は変わります。共通するのは、追加送付や署名を止め、正規窓口へ連絡し、あとで確認できる記録を残すことです。「資金を送れば取り戻せる」と連絡してきた第三者へ、さらに送付しません。

記録を残して、交換業者と警察へつなぐ

URL、メールやDM、画面、発生時刻、金額、暗号資産名、ネットワーク、アドレス、tx hash、ログイン履歴、相手との会話を保存します。改変せず、連絡した窓口と受付番号も控えます。交換業者へ正規窓口から連絡し、フィッシングや不正アクセスは警察庁のサイバー事案相談窓口または最寄りの警察署へ相談できます。商品・サービス契約の詐欺は消費者ホットライン188、登録交換業者との間で解決しないトラブルは会員会社であればJVCEAへ相談できます。金融庁は情報提供・相談を受け付けますが、個別紛争のあっせん・仲介・調停は行いません。

次に確認したいテーマ別ガイド

今の課題に合うものから確認してください。会社・製品・技術・規制の詳しい内容は、次の専門ガイドで扱います。

一次資料・公的資料