OKX Web3 セキュリティ チーム: 目を保護するのと同じように、秘密鍵を保護してください。
出典：OKX
鍵がなければコインもない ― 分散型の自由は絶対的な「秘密鍵セキュリティ」を犠牲にして得られる。
Chainalysisの2025年7月のレポートによると、ビットコインの17%～23%が秘密鍵の忘れやデバイスの破損により永久に休眠状態にあることが示されています。秘密鍵は資産の所有権を表すため、一度紛失するとリセットできず、復旧を支援するカスタマーサービスもありません。一度他人に知られてしまうと、盗まれた資金を回復することはほぼ不可能です。オンチェーンの世界は私たちに自由を与えてくれますが、同時にすべての責任を私たちの手に委ねることになります。オンチェーンエコシステムが発展するにつれ、様々な資産盗難事件が頻発していますが、人々は後になって初めて問題に気づき、どこで問題が発生したのか（秘密鍵の漏洩？フィッシングリンクのクリック？トロイの木馬プログラムのダウンロード？あるいはその他の運用ミス？）を特定するのが困難です。OKX Web3セキュリティチームは、このポピュラーサイエンス記事を通じて、皆様の秘密鍵セキュリティに対する意識を高めるとともに、見落としがちなセキュリティの盲点についても検証したいと考えています。I. 秘密鍵やニーモニックフレーズが漏洩するのはなぜ？まず、よくある誤解を正しましょう。多くのユーザーは、秘密鍵やニーモニックフレーズの漏洩（以下、「秘密鍵漏洩」）はウォレットの使用中に発生すると考えています。実際には、大手ブランドの公式ウォレットを正規のチャネルからダウンロードして使用する場合、通常の使用中に秘密鍵が漏洩することは通常ありません。秘密鍵の漏洩は、不適切な保管方法によって他人に取得されてしまうことがほとんどです。秘密鍵を入手した人は、どのウォレットからでもそのアカウントの資産をインポートして管理することができます。実際には、秘密鍵の漏洩には多くの原因があり、その原因を完全に追跡することはしばしば困難です。しかし、数多くの業界事例の分析と調査への協力を通じて、いくつかの典型的なシナリオと手がかりをまとめました。（下記参照）
画像：SlowMistのYu Xian先生が語る、秘密鍵盗難の原因分析の難しさ
II. 一般的な秘密鍵漏洩シナリオと回避策
（I）最も見落とされやすいシナリオ：ウォレット作成中に漏洩が発生
画像：スクリーンミラーリングが検出されると、OKX Walletはニーモニックフレーズと秘密鍵を自動的に非表示にし、他の人にはテキストが見えないようにする
（II）最も一般的なシナリオ：秘密鍵の不適切な保管による漏洩
ケース3：偽アプリ、Androidユーザーにとって悪夢。 王さんは用心深いユーザーです。ウォレットを作成した後、ニーモニックフレーズのスクリーンショットをローカルフォトアルバムに保存し、クラウドにはアップロードしませんでした。クラウドの方が安全だと考えたからです。しかし、彼はフォーラムからいわゆる「Telegramの強化版」をダウンロードしました。アプリのアイコンとインターフェースは正式版とほぼ同じでした。実際には、このアプリはバックグラウンドで彼の携帯電話の写真アルバムを継続的にスキャンし、OCR（光学文字認識）技術を用いてニーモニックフレーズを識別し、ハッカーのサーバーに自動的にアップロードしていました。3か月後、王氏の資産は空になり、5万ドル以上の損失が発生しました。技術的な分析により、彼の携帯電話には偽のimToken、MetaMask、Google Authenticatorなど、複数の悪意のあるアプリが含まれていたことが判明しました。
事例4：BOM悪意あるアプリケーションがニーモニックフレーズの漏洩を引き起こす。2025年2月14日、複数のユーザーがウォレット資産の盗難に遭いました。オンチェーンデータ分析により、これらの事例におけるニーモニックフレーズ／秘密鍵漏洩の典型的な特徴が明らかになりました。さらに調査を進めたところ、影響を受けたユーザーのほとんどがBOMと呼ばれるアプリケーションをインストールして使用していたことが判明しました。さらに調査を進めたところ、このアプリケーションは実際には巧妙に偽装された詐欺であることが判明しました。犯罪者は、ユーザーに許可を与えるように誘導することでニーモニックフレーズ／秘密鍵の権限を不正に取得し、組織的な資産移転を行い、活動を隠蔽しようとしていました。
セキュリティに関する推奨事項：多くのユーザーは「利便性」から習慣を身につけており、それがまさに最も危険です。そのため、皆様には以下の点にご注意ください。 1) ニーモニックフレーズのスクリーンショットを撮らないでください！ **秘密鍵情報は紙に手書きし、安全な場所に保管することをお勧めします。** **2) アプリは必ず公式チャネルからダウンロードしてください。出所不明の「拡張バージョン」やサードパーティ製の改変を安易に試さないでください。** **3) 端末に異常を発見した場合や、以前に秘密鍵のスクリーンショットを撮ったことがある場合は、危険を冒さず、直ちに資産を新しいウォレットに移してください。** **4) OKX はどのような対応をしましたか？** ユーザーが秘密鍵とニーモニックフレーズのバックアップページでスクリーンショットを撮れないように、これらの機密ページのスクリーンショット機能を無効にしました。[画像: OKX Wallet は秘密鍵とニーモニックフレーズページでのスクリーンショットを禁止] さらに、ユーザーが偽アプリをインストールするリスクを軽減するため、Android 版では悪意のあるアプリをスキャンする機能も提供しています。
画像：OKX Wallet Android版は悪質アプリスキャン機能を搭載
（III）最も一般的で陥りやすいシナリオ：他人による秘密鍵のフィッシング
ケース5：偽のエアドロップフィッシング 著名なNFTプロジェクトが、Twitterで新規トークンを保有者にエアドロップすると発表しました。発表からわずか10分後、Google検索結果の上位に複数のフィッシングサイトが表示されました（有料広告で宣伝されていました）。これらのフィッシングサイトのドメイン名は1文字だけ異なっており（opensea.ioではなくopensae.ioなど）、ページデザインは公式サイトとほぼ同じでした。ユーザーがウォレットを接続すると、ページに「ネットワークが混雑しているため接続に失敗しました。エアドロップを受け取るには、ニーモニックフレーズを手動で入力してください」というプロンプトが表示されました。その日、50人以上のユーザーが詐欺に遭い、総額20万ドル以上を失いました。最も早く詐欺に遭った被害者は、ニーモニックフレーズの入力から資産の送金までわずか3.7秒でした。
ケース6：ソーシャルエンジニアリング攻撃 趙さんは、あるプロジェクトのDiscordグループで運用上の問題に遭遇しました。非常に「公式」なアバターとニックネームを持つ管理者が、カスタマーサービス担当者を名乗って個人的にメッセージを送信し、彼女を助けるために「認証ページ」へのリンクを送信しました。趙さんはそれを信じ、リンクをクリックし、指示に従ってニーモニックフレーズを入力しました。ページは公式サイトと全く同じように見えました。数分後、彼女のウォレットで突然複数の取引が発生しました。彼女は、このいわゆる管理者が実は詐欺師であり、ウェブページでユーザーにニーモニックフレーズや秘密鍵の入力を求める「カスタマーサービス」は間違いなく詐欺だと気づきました。公式管理者になりすますことに加えて、詐欺師は友人、プロジェクトの従業員、またはその他の信頼できる ID になりすますこともできることに注意してください。
セキュリティに関する推奨事項: 正当な DApp は秘密鍵を要求することはなく、信頼できる人物も秘密鍵を要求することはありません。
セキュリティに関する推奨事項: 覚えておいてください: 秘密鍵は資産への鍵です。秘密鍵は安全に保管し、簡単に開示しないでください。
III. 秘密鍵が漏洩した場合、ウォレットベンダーができることはなぜほとんどないのですか?
ユーザーは、秘密鍵が漏洩した疑いがあり、資産が転送されたことに気付くと、ウォレットチームにすぐに連絡し、より多くの支援を提供できることを期待します。しかし、実際には、秘密鍵が漏洩してしまうと、ウォレットベンダーが介入できる余地は極めて限られています。
「資産の盗難」に関するフィードバックを受け取った際の基本的な対応プロセスと、オンチェーン資産を直接「回収」できない理由について、以下に簡単にご説明します。
まず、ユーザーの皆様に資金の流れを調査するお手伝いをいたします。オンチェーン上の資金が既知のハッカーグループやアドレスクラスターに関連しているかどうかを分析します。同時に、更なる損失のリスクを軽減するため、まだ盗難されていない資産をできるだけ早く送金するようアドバイスいたします。盗難額が高額な場合は、速やかに地元警察に連絡し、法的手段を講じるようアドバイスいたします。
また、社内チームによる詳細な分析を行い、ハッカーの手口をまとめ、今後のユーザー保護の参考とさせていただきます。ツールプロバイダーであるウォレット自体には、オンチェーン資産を凍結またはロールバックする権限はなく、またその権限もありません。ハッカーが秘密鍵を入手すると、通常、自動化されたスクリプトを使用して数秒以内に資金の移動を完了できます。これは非常に高速で、介入が困難です。盗まれた資金が最終的に中央集権型取引所に流入した場合にのみ、法的手段を通じて一時的な凍結を申請できます。資金の流れが、私たちが特定したハッカー集団と関連している場合、まず彼らの共通の手口から、ユーザーが最近高リスクな操作を実行したかどうかを思い出せるようにします。これにより、どの段階で秘密鍵が漏洩した可能性があるかを特定できます。OKXは常にユーザー資金のセキュリティを最優先に考え、長年にわたりリスク管理システムの構築と多層検証メカニズムの設計に多額の投資を行ってきました。これらのプロセスは煩雑に見えるかもしれませんが、すべてユーザー資産をより適切に保護するために設計されています。私たちは業界で最もセキュリティに重点を置いたチームの一つと言えるでしょう。前述のように、ユーザーのセキュリティ意識が低かったり、不適切な使用習慣があったりすると、どのウォレットを使用していても、フィッシングや秘密鍵の漏洩などによる損失を被る可能性があります。そのため、秘密鍵を適切に保護することは、最も重要なセキュリティ基盤です。製品のセキュリティ機能を継続的に向上させるだけでなく、ケース分析を強化し、ユーザーが潜在的なリスクシナリオをより適切に特定できるようにセキュリティのヒントを共有しています。
IV. まとめ：秘密鍵のセキュリティに関するヒント
免責事項：
この記事は情報提供のみを目的としています。本記事は、(i)投資に関する助言や推奨、(ii)デジタル資産の売買または保有の申し出、勧誘、または誘引、(iii)財務、会計、法律、税務に関する助言を提供することを意図したものではありません。デジタル資産（ステーブルコインおよびNFTを含む）は市場変動の影響を受けやすく、高いリスクを伴い、価値が下落する可能性があります。デジタル資産の取引または保有がご自身に適しているかどうかについてご質問がある場合は、法律、税務、または投資の専門家にご相談ください。OKX Web3 Walletは、サードパーティプラットフォームを発見し、利用できるようにする、自己管理型のウォレットソフトウェアサービスです。OKX Web3 Walletは、サードパーティプラットフォームのサービスを管理しておらず、それらについて一切の責任を負いません。すべての製品がすべての地域で利用できるわけではありません。適用される現地の法律および規制を理解し、遵守する責任はお客様にあります。
OKX Web3 Walletおよび関連サービスは、OKX取引所によって提供されるものではなく、OKX Web3エコシステムの利用規約に準拠します。この記事は投稿であり、BlockBeatsの見解を反映するものではありません。BlockBeats の公式コミュニティに参加しよう：
Telegram 公式チャンネル：https://t.me/theblockbeats
Telegram 交流グループ：https://t.me/BlockBeats_App
Twitter 公式アカウント：https://twitter.com/BlockBeatsAsia
関連記事
