パスワードを使い回さない

攻撃者は、あなたのパスワードを推測しているわけではありません。どこかのサービスから流出した「メールアドレスとパスワードの一覧」を入手し、それを取引所のログイン画面に自動で流し込みます。クレデンシャルスタッフィングと呼ばれるこの手法は、使い回しさえなければ成立しません。逆に言えば、通販サイトで使ったパスワードを取引所でも使っていれば、通販サイトの管理体制があなたの資産を守っていることになります。

現実的な解は、サービスごとにランダムな長いパスワードを機械に生成させ、機械に覚えさせることです。パスワード管理アプリはブラウザやスマートフォンに組み込まれているものもあり、追加費用なしで始められます。方式としては、端末内だけで完結するもの、暗号化してクラウド同期するもの、オープンソースで自己ホストできるものがあります。どれを選ぶにせよ、マスターパスワードだけは自分で覚え、他のどこでも使わないでください。

管理アプリ自体も二段階認証で守ります。そして、マスターパスワードを忘れたときに復旧できるのか、端末が壊れたときにどうするのかを、資産を預ける前に確認しておいてください。ここを曖昧にしたまま運用すると、攻撃ではなく自分の操作で締め出されます。

重要な線引きがひとつあります。取引所やメールのパスワードは管理アプリに入れて構いませんが、ウォレットのシードフレーズや秘密鍵は入れないでください。これらはパスワードと違って再発行がなく、管理アプリのアカウントが一度でも破られれば、そのまま資産が動かせる状態になります。シードフレーズは紙や金属プレートなど、ネットワークに触れない媒体で物理的に保管するものです。