Ledgerで147億円流出か。僕はお金を全部自分では守らない
Ledgerで約147億円が抜かれたとされる今も、僕はお金を全部自分で守るより、補填のある所に預けて、普段使いの口座には使う分しか入れない形にしています。
10月10日、Ledgerというハードウェアウォレットから資金が抜かれた、というニュースを見ました。暗号通貨を、ネットから切り離した小さな専用の端末にしまっておく道具です。取引所に置いておくより安全、というのが売りなんですよね。
見た瞬間に思ったのは、「ハードウェアウォレットがハッキングされてんじゃねえよ」でした。安全だから買うものから抜かれたら、買う意味がないじゃないですか。
しかも僕は、そのLedgerを持っています。
ただ、中に資金は入れていません。全部、会社が運営しているクラウドのコールドウォレットへ移してあります。暗号通貨が好きな人ほど「自分の鍵は自分で持て」と言いますし、その理屈も分かります。それでも僕は、全部を自分で抱える形をやめました。決め手は守りの強さではなくて、何かが起きたときに誰が責任を持つか、のほうです。
破られたのは金庫ではなく、届く前の箱だった
最初にニュースを見たとき、僕は細かく読んでいません。ちらっと見た印象で、たぶん端末そのものが破られたんじゃなくて、発送前に細工されたものが届いたんじゃないか、と思いました。
その後に出てきた情報は、だいたいその方向でした。10月10日の報道によると、被害が出たのは東南アジアの販売業者CryptoBilisから端末を買った人たちです。分析会社の推計で、311のウォレットから約9,290万ドル、約147億円。Ledgerは、製品全体に共通する弱点は確認されていないとしています。
翌11日には、被害を受けた人の端末から画面の裏に仕込まれた装置が見つかったと報じられました。画面に送られる表示を読み取って、資産を戻すための「復元フレーズ」を携帯電話の回線で外へ送る仕組みだそうです。鍵を守るチップを破ったのではなく、画面に出た単語を盗み見ていたことになります。装置と流出の因果関係は、まだ断定されていません。
金庫の扉は頑丈だったのに、届いた金庫の中にカメラが入っていた。そういう話です。
これはハードウェアウォレットに限らないと思っています。ポケットWi-Fi、中古のWi-Fiルーター、中古のスマホ。お金や大事なアカウントに触れる機器に、こういうものが入っていてもおかしくない。証拠を持っているわけではないですけど、だから僕は、そういう機器は純正品を公式サイトで買う、というのを徹底しています。
自分で持つほど、責任も全部自分に来る
自己管理が安全かどうかを考えるとき、僕は現金と銀行で考えます。
家に置いた現金が盗まれたら、自己責任です。誰も補填してくれません。でも、銀行に預けていたお金が、銀行のシステムが破られてなくなったなら、さすがに補填は出ると思いますよね。
実際、全国銀行協会は2008年に、個人がネットバンキングで預金を不正に引き出された場合、銀行に過失がなくても、本人に過失がなければ原則補償すると申し合わせています。本人に過失があれば個別対応で、減ったり、出なかったりすることもあります。条件付きです。それでも、抜かれたら終わり、ではない仕組みがある。
ハードウェアウォレットは、その逆です。鍵を自分で持つということは、復元フレーズを盗まれたときの責任も全部自分が持つ、ということです。今回の件も、買った店が悪かったのは利用者のせいではないのに、僕が読んだ範囲の報道では、補償の話は出ていません。
ゼロになるのと、補填でちょっとでも返ってくるのとでは、全く違います。
暗号通貨を持つ人には、銀行や大きな会社のような中央集権的なものが嫌な人が多いと思います。僕もその気持ちは分かります。それでも、何かが起きたときに責任を渡せる相手がいるかどうかで、最悪の日の結果が変わる。僕が資金をクラウドのコールドウォレットへ移したのも、その会社がなくなったら補填してもらわないと困る、という立場に自分を置くためです。
もちろん、預け先が本当に補填してくれるかは、規約を読まないと分かりません。会社だから安心、ではなく、何が起きたら誰が持つのかを見て選ぶ。そこまでやって、責任を分けたと言えると思っています。
普段使いの口座に、お金を入れっぱなしにしない
もう一つ、僕が日常でやっているのは、口座を2段に分けることです。
生活費や決済に使う口座と、まとまったお金を置いておく口座を完全に分けています。
スマホ決済やデビットカードに紐づいている口座には、使う分しか入れません。数万円とか、その程度です。残りは全部、普段持ち歩かない別の口座に置いておきます。
お金が必要になったら、まとまった口座から普段使いの口座へ、ネットバンキングで移します。そのときも、スマホだけで完結させない工夫をしています。認証を別の端末に分けるとか、パスキーを使うとかですね。少し面倒ですけど、その面倒さがそのまま壁になります。
もしスマホを落としたり、画面を盗み見られたり、変なWi-Fiにつないで通信を覗かれたりしても、抜かれるのは普段使いの口座に入っている数万円だけです。メインの口座には届かない。
先ほどの全銀協の申し合わせでも、暗証番号を端末にメモしていたり、生年月日をそのまま使っていたりすると「重過失」や「過失」とみなされて、補填が減る可能性があります。だから「取られてもいい上限」を自分で決めて、それ以上のお金を危険に晒さないようにしておくのが、一番確実な自衛なんですよね。
守る道具より、抜かれた後の形
Ledgerの件を見て、改めて思いました。
「絶対に破られない道具」を探すのは、たぶん無理です。端末が本物でも、届く途中で画面の裏にカメラを仕込まれたら、使う側には見抜けません。
だから僕が気をつけているのは、道具の強さよりも、
- 自分で全部抱え込まず、補填の責任を持つ相手に預けること
- それでも抜かれたときに備えて、持ち歩く口座の残高を絞ること
の2つです。
「自分の資産は自分で守る」というのは、聞こえはいいです。でも、全部を自分の責任にする覚悟がないなら、信用できる相手と責任を分け合う仕組みを選んだほうがいい。
今すぐできることとして、スマホに入っている銀行アプリや決済アプリの残高を見てみてください。そこに、今すぐ使わないまとまったお金が入っているなら、別の口座へ移しておくだけでも、最悪の日の守りは一段硬くなります。
制作プロセス
このコンテンツは、僕自身の一次情報をもとに制作しています。
出典1：全部自分で管理するほど、逆に危ないんじゃないか
出典2：情報漏えいの裏で、株価のショートでも儲けているんじゃないか
AI活用
制作には、以下のAIモデルと僕の声をもとにしたAI音声を使用しています。
文章：Claude Opus 5.5
台本：Claude Opus 5.5
音声：Gemini 3.8 Flash TTS
ニュースレター
今週の大事な変化と、それをどう判断し、どう動いたかを毎週まとめています。