シードフレーズは単一障害点である

12個の単語。この記事を読む多くの人にとって、それがセキュリティモデルのすべてです。一度だけ生成され、紙に書き留められた、ありふれた英単語12個あるいは24個が、オンチェーンで保有するすべてを支配しています。BIP39 のシードフレーズは正当に評価されるべきものです——ウォレットのバックアップを、持ち運び可能で、標準化され、ベンダーに依存しないものにしたのですから。しかし同時に、それは静かに業界で最も集中したリスクにもなりました。シードフレーズは単一障害点です。それを読んだ者に何もかもを引き渡し、それを知る唯一の人物が失えば何もかもを葬り去る、たった1つの秘密なのです。

先に結論を述べます。これは、より優れた隠し場所で対処できる問題ではありません。単一のシードフレーズをどう配置しても、露出リスクと喪失リスクを天秤にかけているだけです。解決策は構造的なものです。すなわち、独立した複数の鍵に管理を分散させ、単一の秘密ではウォレットを空にすることも、消失によって永久にロックすることもできないようにすることです。

1つの秘密、正反対の2つの破綻の仕方

シードフレーズはウォレットの完全なマスターキーです。すべての秘密鍵とすべてのアドレスを決定論的に導き出すため、その単語を握っている者は、それ以上何も問われることなく資金を支配できます。それは持参人払いの秘密（ベアラーシークレット）です。凍結できる口座も、パスワードのリセットも、送金を取り消す権限を持つサポート窓口も存在しません。

単一障害点とは、その侵害や喪失によってシステム全体が停止してしまう、あらゆる構成要素を指します。この定義に照らせば、単一シードによるカストディは、2つの方向へ同時に破綻します。

• 露出。その単語を読んだ者は誰でも——空き巣、クラウドに同期された写真ロール、メモアプリを走査するマルウェア、あなたが物をどこにしまうか知っている親族——どこからでも、数分で、取り返しのつかない形でウォレットを空にできます。
• 喪失。唯一の写しが燃え、水没し、色あせ、あるいはゴミと一緒に捨てられてしまえば、コインはオンチェーンに永遠に表示され続けながら、決して使えなくなります。ブロックチェーンはあなたの孫にまで残高を嬉々として見せてくれるでしょう。しかし、誰一人それに触れることはできません。

厄介なのは、この2つのリスクが互いに引っ張り合うことです。写しを増やせば喪失の確率は下がりますが、露出の確率は跳ね上がります。写しを1つだけ、これ以上ない隠し場所に置けば、その逆になります。単一のシードフレーズでは、どちらの破綻に見舞われやすいかを選べるだけで——破綻のモードそのものを取り除くことはできません。

業界で最も克明に記録された喪失事例

これはどれも仮定の話ではありません。2013年、ウェールズの IT 技術者ジェームズ・ハウェルズは、約7,500 BTC の鍵を収めたハードディスクを捨ててしまいました。それ以来ニューポートの埋立地に埋もれたままで、十年にわたる発掘提案は地元の議会もコインも動かせずにいます。サンフランシスコのプログラマー、ステファン・トーマスは、7,000 BTC 余りの鍵を収めた暗号化された IronKey ドライブを所有しています。彼は何年も前にパスワードを失い、2021年に広く報じられたとおり、永久ロックまで10回しかない試行のうち8回をすでに使い果たしています。こうした著名な事例のほかにも、広く引用される Chainalysis の推計は、恒久的に失われたビットコインを、これまでに採掘された全コインの約20%と見積もっています。

彼らが何者かに注目してください。IT の専門家と、腕利きのソフトウェアエンジニア。いずれも自分が何を保有しているかを正確に理解できるほど早くこの業界に入った人々です。単一鍵カストディが罰するのは無知ではありません——ごくありふれた人間の過ちを罰し、しかもそれを完膚なきまでに罰するのです。銀行の顧客なら午後いっぱいの電話で済むような書類上のミスが、セルフカストディの保有者にはすべてを、永久に失わせます。

バックアップを増やしても解決しない理由

喪失の逸話が語られるたびに与えられる定番の助言は、いつも同じです。きちんとバックアップを取れ、と。火や水でも壊せないよう、単語を鋼板に刻印せよ。写しを複数の場所に保管せよ。貸金庫を借りよ。どれもそれなりに理にかなっています——が、いずれも根底にある構造には手が届きません。なぜなら、シードフレーズの写しはどれも鍵そのものだからです。鋼板は住宅火災を生き延びます。しかし同時に、見つけ出されるのに十分なほど長くも生き延びるのです。バックアップの保管場所を1つ増やすことは、あなたの富の完全で使用可能な写しが、不適切な読み手を待ちながら置かれる場所を1つ増やすことに他なりません。

業界もこれを承知しています。だからこそ「サービスとしてのシードバックアップ」が繰り返し試みられるのです。今年5月、Ledger は Recover を発表しました。これは、本人確認と結びつけたうえで、デバイスのシードの暗号化された写しを3つのカストディアンに分割して預けるオプトイン式のサブスクリプションです。技術に明るいユーザーからの反発は即座に、そして Ledger が展開を一時停止するほど大きく巻き起こりました。当時、私たちはこの一件がセルフカストディについて教えたことを取り上げました。ここで重要なより絞られた論点は、そもそもなぜこの製品が存在するのか、ということです。バックアップのない単一シードは、いつ起きてもおかしくない喪失であり、ベンダーはサポートチケットを通じてその圧力を日々感じています。しかし、第三者を介してシードを再構成しても、単一障害点はなくなりません——それを、カウンターパーティリスクとプロセスリスクに置き換えるだけです。この種のリスクは、昨年11月の FTX の破綻が、まだ教訓を必要としていた誰の目にもはっきりと値付けしてみせたものです。

公平を期して言えば、ハードウェアウォレットはその謳い文句どおりの働きを本当によくこなします。すなわち、インターネットに接続されたコンピューターから鍵を遠ざけることです。しかし、ハードウェアウォレットの中にあるシードも、やはり1つのシードです。デバイスとその紙のバックアップを一緒に失えば、結末は埋立地のそれと変わりません。

単一障害点を実際に取り除くもの

マルチシグ——マルチシグネチャによるカストディ——は、隠し場所ではなく構造を変えます。マルチシグウォレットは、あらゆる取引を承認するために N 個のうち M 個の独立した鍵を必要とします。2-of-3、3-of-5、といった具合です。単一の鍵では資金を動かせず、単一の鍵が失われても資金は凍結されません。単一障害点は、より巧妙に隠されるのではありません。存在しなくなるのです。

適切に構成すれば、N 個の鍵はそれぞれ独立した標準の BIP39 シードフレーズとして、それぞれ独立したデバイス上で生成され、それぞれ独立した場所に保管されます——そして、それぞれ別の人物に属することもできます。鍵が2つの都市と2人の人物の手に分かれている 2-of-3 ウォレットには、その破綻が致命的となるような場所も、デバイスも、個人も存在しません。

代替手段にも公平を期しましょう。MPC ウォレットは、異なる数学によって同じ目標を追求します。1つの鍵をシェアに分割し、それらが共同で署名を計算するのです——プロトコルの透明性や回復をめぐる独自のトレードオフを抱えつつも、理にかなった設計です。カストディアンは鍵の管理を完全に肩代わりします。これは一部の機関が正当に必要とするものですが、そのカストディアンを信頼するという代償を伴います。マルチシグに固有の美点は、チェーンそのものがルールを執行することです。誰もが支出のしきい値をオンチェーンで検証でき、回復はいかなる企業が事業を続けているかどうかにも依存しません。この検証可能性こそが、アプリ自体はオープンソースでないにもかかわらずOwnbit のマルチシグがオンチェーンのコントラクトをオープンソースに保つ理由であり、Ownbit ウォレットにおけるすべての共同署名者の鍵が、標準ツールで回復できるごく普通の BIP39 フレーズである理由です。

現実の暮らしを生き延びる 2-of-3

私たちが最もよく勧める構成を紹介します。使うのはスマホだけです。

1. 鍵1 — 普段使いのスマホ。ウォレットアプリが1つのシードを保持し、取引を取りまとめます。
2. 鍵2 — コールドウォレットとしての予備のスマホ。初期化して常時オフラインに保った古い端末が、2つ目のシードを保持します。未署名の取引を入れ、署名を QR コードとして取り出すため、この鍵はネットワークに一切触れません。Ownbit のコールドウォレット運用は、まさにこのために存在し、追加で購入すべきハードウェアもありません。
3. 鍵3 — 別の場所にあるバックアップのシード。3つ目のシードフレーズは、別の場所で紙や鋼板の上に、あるいは信頼できる家族の手元に保管します。

では、破綻を順に追ってみましょう。住宅火災で普段使いのスマホとコールド用のスマホの両方を失った場合は？ 鍵3と、代わりの端末があれば 2-of-3 の管理を復元できます。空き巣がバックアップのシードを見つけた場合は？ それ単体では何も署名できず、あなたは自分のペースで落ち着いて資金を新しいウォレットへ移し替えられます。空港でスマホを盗まれた場合は？ 答えは同じです。2-of-3 マルチシグでは、どの1つの鍵を失っても生き延びられ、どの1つの鍵を盗まれても無価値です——単一シードのもとでは互いに引っ張り合っていた2つのリスクが、いまや同じ1つの構造によってどちらも吸収されるのです。

目標は、鍵の喪失を不可能にすることではありません。どの単一の喪失も生き延びられるものにし、どの単一の盗難も無意味なものにすることです。

正直なコスト

マルチシグはタダではありません。送金のたびに2つ目の署名が必要になり、そのぶん調整の一手間が増えます——貯蓄なら許容できても、コーヒー代には煩わしい。だからこそ、少額を扱う単一鍵のホットウォレットにも、マルチシグの金庫と並んで正当な居場所が残るのです。一部のチェーンでは、マルチシグの取引は手数料がいくらか高くつきます。そして、あなたが適切に保管すべきシードフレーズは、1つではなく3つになります。規律がなくなるわけではなく、分散するのです。変わるのは、ミスがもたらす結末です。かつては致命的だった過ちが、修復可能な出来事になるのです。

もう1つ、より控えめな利点もあります。鍵は別々の人物に属することができるため、マルチシグは相続の自然な基盤になります。相続人は、今日それを使えるようにはならないまま、今日から鍵を持てるのです。そして、存命中に誰かがシードフレーズを共有する必要は一切ありません。これはそれ自体で1本の記事に値します——が、いまはこの論点だけで十分に成り立ちます。オンチェーンの純資産のすべてが、たった1つの単語の連なりが秘密でありかつ安全であり続けることに懸かっているのなら、問うべきは、その仕組みが破綻しうるかどうかではなく、どちらの方向へ先に破綻するか、なのです。

よくある質問