二段階認証の方式を選ぶ

二段階認証を「入れているかどうか」で語ると、方式ごとの差が見えなくなります。SMSで受け取るコードは、あなたの電話番号に届きます。つまり、電話番号そのものが攻撃対象になります。携帯電話事業者の窓口で本人になりすまし、回線を別のSIMに移し替えるSIMスワップが成立すると、コードは攻撃者の端末に届きます。SMSでの二段階認証は「ないよりよい」ものですが、他の選択肢があるなら選ぶ理由はありません。

認証アプリ（TOTP）は、サーバーと共有した秘密情報から、端末内で30秒ごとに6桁のコードを生成します。通信網を経由しないため、SIMスワップの影響を受けません。設定時に表示されるQRコードは秘密情報そのものなので、スクリーンショットをクラウドに残さないでください。また、機種変更に備えて、発行されるバックアップコードを紙に控えて保管しておきます。

最も強いのは物理セキュリティキー（FIDO2/WebAuthn）です。この方式は、認証のたびにブラウザが接続しているドメインを検証します。そのため、見た目が完全に同じ偽サイトに接続していても、ドメインが違えば署名が成立しません。コードを読み上げさせる、入力させるという操作自体が存在しないため、フィッシングで奪う経路が塞がれます。可能な限り2本用意し、1本を予備として別の場所に保管してください。

設定の優先順位は、取引所の口座、メールアカウント、そしてパスワード管理アプリです。メールを後回しにしないでください。メールが取られると、他のサービスのパスワード再設定を通じて連鎖的に破られます。なお、二段階認証は「取引所などのアカウント」を守る仕組みであり、自己管理ウォレットの鍵を守るものではありません。ウォレット側の守りは、シードフレーズの物理的な保管と、署名内容の確認が担います。