シードフレーズを決して共有してはいけない理由

CrabChain.org編集部 | 2026年10月13日更新

暗号資産エコシステムには、ほぼ例外を認めないセキュリティルールがあります。復旧フレーズとも呼ばれるシードフレーズは、他人と決して共有してはいけません。その重要性は、単なるアプリケーションへアクセスするためのパスワードではなく、ウォレットに関連する秘密鍵を再構築し、特定のアドレスに結び付いたデジタル資産の管理権まで得られる暗号学的要素であることにあります。この情報を取得した人は、電話、コンピューター、元のアプリケーションへアクセスできなくても、最終的に正当な所有者と同じ管理能力を持つ可能性があります。

混乱は、ウォレットが通常の銀行口座のようには機能しないことから始まることがよくあります。金融機関では、ユーザーは中央集権型インフラに対して本人確認を行い、そのインフラが身元を確認したうえで追加の仕組みにより取引を承認します。非カストディ型ウォレットでは、管理権は暗号鍵にあります。ブロックチェーンは残高と取引を記録しますが、法的な意味で人物を認識するわけではなく、対応する鍵で行われた送金を取り消す中央機構もありません。このモデルでは、秘密鍵を保護することが所有者の直接的な責任になります。

それが何で、なぜ重要なのか

シードフレーズは、ウォレットを復元できる暗号情報を人間が読める形で表したものです。多くのシステムはBIP-39などの標準を利用し、一定量のエントロピーを単語列として表して、そこから決定論的に鍵を導出するための出発点とします。そのシードから、互換性のあるソフトウェアは、適用される導出ルールに従って複数のアカウントやアドレスを再構築できます。したがって、復旧フレーズを第三者へ渡すことは、実質的に、それに依存する資金への暗号学的アクセスを再構築できる能力を渡すことになります。

この原則によって、シードフレーズと通常のパスワードの基本的な違いが分かります。パスワードは、誰かに取得された疑いがあれば変更できます。侵害されたシードフレーズは、同じウォレットを安全な状態へ戻すために単純に変更することができません。別の人がシードを知った時点で、それはもはや秘密ではありません。その後、新しいシードフレーズで新しいウォレットを作り、資産を移すことはできますが、元の秘密は侵害されたものとして扱う必要があります。シードが漏えいしたウォレットに資金を置くことは、端末を変更したりアプリケーションを再インストールしたりしても消えないリスクを受け入れることになります。

攻撃者が漏えいした情報を悪用するために、被害者の公開アドレスを知る必要さえありません。シードを持ち、互換性のあるソフトウェアを使用すれば、そこから導出されるアカウントを探し、残高を確認しようとできます。ウォレットに複数の資産、複数のネットワーク、同じシードから導出された複数のアカウントが含まれている場合、リスクはさらに高まります。一度の漏えいが、頻繁に使う一つのアドレスだけでなく、自己管理構造全体へ影響する可能性があります。

共有してよい情報

よくある間違いの一つは、ウォレットに表示される他の情報とシードフレーズを混同することです。公開アドレスは資金を受け取るために共有できます。取引IDも公開できますし、特定の活動データはブロックチェーンエクスプローラーで確認できます。これらをシードと同じものと考えてはいけません。公開アドレスは送金先を識別する一方、秘密鍵やそこから導出するために必要な情報は、取引を承認する能力を提供します。セキュリティの観点では、前者は受取識別子に近く、後者はまったく別の種類の情報です。

ソーシャルエンジニアリング

犯罪者はこの違いを完全に理解しており、混同を利用してソーシャルエンジニアリング攻撃を展開します。偽のカスタマーサービスは、アカウント確認や技術的問題の解決にシードフレーズが必要だと主張することがあります。詐欺サイトは、エラーメッセージを表示してウォレットを復元するために復旧フレーズを要求することがあります。また、報酬、エアドロップ、セキュリティチェック、緊急の移行などを約束し、シード入力欄を通常の手順のように見せる詐欺もあります。これらすべてで通常の目的は、資金を管理できる秘密そのものを直接取得することです。

心理的な圧力は、こうした手法の重要な部分です。詐欺師は緊急感を作り、異常な活動があると警告し、数分以内に消える機会だと提示することがあります。ユーザーはセキュリティ機構へ協力していると思うかもしれませんが、実際には盗難を可能にする情報を提供していることがあります。特に重要なのは、正規のウォレットが復旧管理に関する警告を表示することはあっても、企業や個人が資金へアクセスするために完全なフレーズを要求してきた場合は、重大な詐欺の兆候とみなすべきだという点です。

うっかり漏らすリスク

漏えいは直接的な詐欺によってのみ起こるわけではありません。シードフレーズを撮影してスマートフォンに保存すると、不必要なリスクが生まれます。クラウドストレージ、メール、同期型メモアプリケーション、あるいは自動的にインデックスやバックアップの対象となる文書へ保存することも危険です。問題は、誰かが端末を物理的に見る可能性だけではありません。侵害されたアカウント、感染したコンピューター、保護の弱いバックアップが、情報を取得する間接的な経路になる可能性があります。

そのため、シードフレーズの管理は単純な事務作業ではなく、秘密を守る問題として理解すべきです。オフライン保管は特定のデジタルリスクを減らし、紛失、湿気、火災、第三者のアクセスから守られた物理的なコピーは、追加の耐障害性を提供できます。資産価値が非常に高い場合には、専用の物理保管ソリューションや、より高度な自己管理方式を利用する人もいます。しかし、最も高度なシステムでも、シードフレーズがチャット、写真、詐欺サイトを通じて流通してしまえば、その有効性は失われます。

もう一つ重要なのは、技術知識がない人だけが脆弱とは限らないことです。経験豊富なユーザーも、実際の復旧や取引署名のプロセスを知っているからこそ、被害に遭うことがあります。攻撃者は正規アプリケーションが使う言葉を正確に模倣し、視覚的にも説得力のあるページを構築できます。技術知識は役立ちますが、基本的なセキュリティ原則をなくすものではありません。どんな緊急事態、キャンペーン、技術サポート手続き、本人確認であっても、シードフレーズを第三者へ渡す理由にはなりません。

漏れたと思ったら

復旧フレーズを共有した、撮影された、ウェブサイトへ入力した、侵害された環境に保存したなどの疑いがある場合、優先すべきなのは、その秘密がもはや安全ではないと仮定することです。適切な対応は、漏えい範囲を速やかに評価し、必要に応じて信頼できる環境から新しいウォレットを作成し、資産を新しいアドレスへ移すことです。分散型アプリケーションを使用していた場合は、コントラクト承認やその他の認証メカニズムも確認することが重要です。セキュリティリスクは必ずしもシードだけに限定されないからです。

シードフレーズの本当の機能は、ウォレットの管理権を回復できるようにすることです。まさにその能力があるからこそ、自己管理における最も機密性の高い情報の一つとして扱わなければなりません。公開アドレスは暗号資産を受け取るために共有できますが、復旧フレーズは開示してはいけない秘密のカテゴリーに属します。対応する鍵で署名された送金を取り消せる中央権限が存在しないシステムでは、この情報を保護することは補足的な推奨ではなく、デジタル資産の管理権を維持するための基本条件です。

参考資料

• BIP-39: Mnemonic code for generating deterministic keys — Bitcoin Improvement Proposals（英語）
• Ethereum security and scam prevention — ethereum.org（英語）