エックスウィンは、世界有数のブロックチェーンセキュリティ企業であるCertiKと連携し、暗号資産を安全に利用するための知識の普及と、セキュリティ意識の向上に取り組んでいる。今回は、身近な情報漏えいの問題を入り口に、私たちが知っておきたいセキュリティの基本を考えたい。
AIを悪用したサイバー攻撃が現実の脅威となるなか、日本企業では個人情報の漏えいが相次いでいる。
JPCERT/CCは10月15日に公開した調査で、攻撃者がAIを利用し、既に知られているシステムの弱点を探したり、アプリとサーバーの接続口を通じて攻撃したりしていたことを確認したと発表した。さらに、10月23日に更新した注意喚起では、本来はシステムの安全性を調べるためのAIツールが、攻撃に悪用されていることも報告している。
こうした被害は、私たちが日常的に利用する身近なサービスにも及んでいる。企業への攻撃や情報漏えいは、利用者一人ひとりに関わる問題でもある。
こうした情報流出を、企業だけの問題として受け止めることはできない。漏れた情報が別の情報と組み合わされれば、本人を装った連絡や、利用サービスを知る人物からの連絡に見せかけた詐欺に使われるおそれがある。自分の名前を知っている相手でも、それだけで信用できるとは限らない。
さらに金融庁は、生成AIによって自然な日本語の文章や音声・映像が作れるようになり、フィッシングや、特定の人物になりすます詐欺が巧妙化するリスクを指摘している。文章の自然さや動画の見た目だけで、相手を判断することが難しくなっている。
暗号資産を利用する私たちも、この変化と向き合う必要がある。資産を奪う入口は、偽メール、アカウントの乗っ取り、秘密鍵の流出、サービスの欠陥、運営者の不正など、複数ある。まず、それぞれの違いを知ることから始めたい。
その前提として、暗号資産の保管方法を理解しておこう。取引所に預ける場合、資産の管理を事業者に委ねる。一方、自己管理型ウォレットでは、利用者自身が資産を動かすための「鍵」を管理する。ウォレットは、ブロックチェーン上の資産を確認し、送金などを操作するための道具だ。
ここでいう「秘密鍵」は、送金などを承認するための重要な情報である。「復元フレーズ」は、多くのウォレットで使われる、複数の単語からなる復旧用の情報だ。これを他人に知られると、端末を渡していなくても資産を動かされるおそれがある。一般的な自己管理型ウォレットでは、アプリのパスワードを変えても、流出した秘密鍵を無効にすることはできない。
また、多くの暗号資産では、確定した送金を窓口への連絡だけで取り消すことはできない。送金先や承認内容を、操作する前に確かめることが重要になる。
被害の規模も小さくない。CertiKの「Hack3D：2026年上半期レポート」によると、同期間の暗号資産・ブロックチェーン関連のセキュリティ事件は344件、凍結・返還分を差し引く前の総損失は13億ドルを超えた。主な攻撃には、ウォレットの侵害、フィッシング、プログラムの欠陥の悪用が含まれる。
利用者の視点から、主なリスクを六つに整理すると分かりやすい。
一つ目は、偽サイトやなりすまし、投資詐欺だ。「不正利用を止めるために再認証が必要」「無料でトークンを受け取れる」などと誘導し、情報や資産を奪う。著名人を装った広告や、SNSで知り合った相手からの投資勧誘にも注意が必要だ。画面に利益が表示されていても、実際に資産を保有・運用している証拠にはならない。
二つ目は、アカウントや端末、秘密鍵の侵害だ。使い回したパスワード、不審なアプリ、偽のウォレット拡張機能などが入口になり得る。取引所だけでなく、パスワードの再設定に使うメールアカウントも守る必要がある。復元フレーズを撮影した画像がクラウドへ自動保存され、そこから漏れるリスクもある。
三つ目は、利用者自身が悪意のある操作を承認してしまうことだ。ウォレットをつないで使う交換サービスなどでは、サービスのプログラムに対し、指定したトークン（暗号資産など）を一定額まで動かす権限を与える「承認」が必要になる場合がある。内容を理解せずに過大な権限を与えると、秘密鍵を盗まれなくても、その権限を悪用されるおそれがある。
ここは初心者が特に誤解しやすい点だ。ウォレットとサイトの「接続解除」と、既に与えたトークンの利用権限の「取り消し」は別の操作である。サイトから離れたことで、過去の承認まで消えるわけではない。
四つ目は、取引所やサービス提供者、委託先の侵害だ。利用者が慎重でも、運営側の端末、管理権限、外部サービスなどが攻撃を受ければ、資産や個人情報へ影響が及び得る。利用先を選ぶ際には、運営主体、資産管理の方法、事故への対応、公表情報まで確認したい。
五つ目は、DeFiの仕組み自体にあるリスクだ。DeFiとは、ブロックチェーン上のプログラムを使って交換や貸し借りなどを行う仕組みで、その中心となるプログラムをスマートコントラクトと呼ぶ。コードの欠陥や管理権限の侵害が、資産流出につながることがある。異なるブロックチェーン間で資産を移す「ブリッジ」でも、追加の仕組みや管理体制を理解する必要がある。
第三者による監査は、こうしたリスクを見つけるための重要な取り組みだ。ただし、監査ですべての欠陥を発見できるとは限らない。監査の対象や指摘事項、その後の修正・更新、継続的な監視まで含めて見る必要がある。
六つ目が、個人情報の悪用と、現実世界での脅迫・強盗である。保有額を示す投稿や公開ウォレットの情報が、氏名、住所、行動予定などと結び付くと、狙われる材料になり得る。
CertiKの「Intel3D H1 2026 Wrench Attacks」は、暴力や脅迫で送金などを強いる「レンチ攻撃」を、2026年上半期に52件確認したと報告している。これは公表情報から確認できた件数だ。秘密鍵をオフラインで管理する専用端末「ハードウェアウォレット」を使っていても、本人が操作を強いられる事態には、家族を含めた別の備えが求められる。
では、初心者は何から実践すればよいのか。最初から複雑な仕組みを導入するより、日々の確認を習慣にすることが大切だ。
●利用の入口を確かめる。突然届いたメールやDMのリンクから操作せず、あらかじめ確認した公式アプリやブックマークから開く。著名人の映像や知人の声でも、送金の依頼は普段から使っている別の連絡先で確認する。
●取引所とメールのアカウントを守る。パスワードを使い回さず、対応するサービスでは、指紋認証やPINなどを使う「パスキー」や、認証アプリなどを併用する「多要素認証」を利用する。認証コードを他人に伝えず、端末やアプリも更新する。
●秘密鍵と復元フレーズを守る。サポートを名乗る相手にも渡さず、偽サイトやAIチャットへ入力しない。写真やスクリーンショットでの保存を避け、紛失や災害時にも復旧できる保管方法を考える。
●操作の内容を確かめる。送金先のアドレス、金額、ネットワーク（送金に使うブロックチェーン）、承認する権限を確認する。初めての送金は少額で試し、不要になったトークンの利用権限も定期的に見直す。少額送金の成功だけで、投資先の信頼性まで判断しない。
●資産の用途を分ける。日常利用や新しいサービスを試す資産と、長期保管する資産を分ける。ハードウェアウォレットも有力な手段だが、誤った承認や復元フレーズの流出への対策を併せて行う。
●公開する個人情報を絞る。保有額、自宅、家族、リアルタイムの移動予定などの投稿を見直す。家族とも、不審な訪問や緊急の送金要求への対応を共有しておく。
私は、日本企業で相次ぐ情報漏えいと暗号資産の被害を見て、デジタル資産を安心して使うためには、技術と人の行動、情報管理を一体で考える必要があると感じている。
利用者が一度の操作で大きな権限を渡してしまう画面や、一人の担当者だけで多額の資産を動かせる体制には、改善の余地がある。何を承認するのかが伝わる画面、必要最小限の権限、複数人での確認、顧客情報へのアクセス管理、事故発生後の連絡と対応まで、事業者が整えるべきことは多い。
同時に、利用者も、自分がどこに資産を預け、誰が鍵を持ち、どのような操作を承認しているのかを理解しておく必要がある。セルフカストディやDeFiの自由を安心して活用するために、この基礎知識は欠かせないと考えている。
エックスウィンとしても、利便性や運用の可能性を伝える活動とともに、安全に利用するための知識を広めていきたい。セキュリティを学び続ける文化が、デジタル資産の普及を支える土台になると考えている。
こうした基本から最新動向までを専門家に学ぶ機会として、ブロックチェーン推進協会（BCCC）は11月5日、「BCCC Blockchain Lounge Special Seminar」を開催する。
テーマは「CertiKに学ぶ Web3セキュリティ最新動向 ― 最近の事例から考える、暗号資産を安全に利用するためのポイント ―」。CertiKからJoseph H.氏、Yuannan Yang氏を迎え、最新のリスクやトレンド、暗号資産・DeFiを安全に利用するためのポイントを分かりやすく解説する。
開催は2026年11月5日（木）20時〜21時（日本時間）。Zoomウェビナー形式で、参加費は無料。専門知識のない方も参加できる。暗号資産を始めたばかりの方も、長く利用している方も、自分の備えを見直す機会として活用してほしい。
参加申し込みはこちら
https://us02web.zoom.us/webinar/register/WN_vSefwA2eTxaTRURzYm9KRw#/registration
ショート動画
AI時代の暗号資産セキュリティ｜資産を守る3つの基本
【次に読む】
» 不正アクセスに揺れるGMO、系列暗号資産取引所が注意喚起
» 米通貨監督庁、地域銀行にステーブルコイン発行への参入を呼び掛け
» GMO攻撃者が顧客情報の公開を開始──暗号資産ユーザーにも波及の恐れ
