シードフレーズとは？暗号資産ウォレットのバックアップ方法

シードフレーズとは、暗号資産ウォレットのすべての鍵の背後にある乱数を符号化した12〜24個の単語のリストです。12単語のフレーズは128ビットの乱数を含み、その単語を読めば誰でもウォレットを再構築して資産を持ち去ることができます。オフラインで、鉛筆で紙に書くか、金属に刻印してバックアップします。

取引所から自分のウォレットにコインを移す場合、その単語がウォレットそのものであり、どの強度でも見た目は同じです。2026年7月下旬、Coinkiteは一部のColdcard Mk2およびMk3ハードウェアウォレットが、意図した128ビットに対し約40ビットの乱数でシードを生成していたと発表しました。攻撃者はデバイスに触れることなくオフラインで再構築しました。

シードフレーズとは？

SECの投資家向け公告は、シードフレーズを「デバイスや鍵を紛失した場合に暗号資産ウォレットを復元できる単語のランダムな配列」と定義しています。同じ公告では、初心者がよく見落とす点として、ウォレットは秘密鍵を保持しておりコイン自体は保持していないことを指摘しています。

つまり、暗号資産のシードフレーズは暗号資産ウォレットが管理するすべてのもののマスターコピーです。スマホやハードウェアデバイスを紛失しても、コインはブロックチェーン上に残っており、単語を再入力すれば新しいウォレットソフトウェアで再び見つけることができます。

ウォレットによっては、同じ単語をリカバリーフレーズ、バックアップフレーズ、またはニーモニックフレーズと呼びます。Bitcoin Wikiは「ニーモニック」という表現を好みません。単語を記憶すべきだと誤解させるからです。また、シードフレーズはブロックチェーン上の資金のみを復元するため、Lightningチャネルには独自のバックアップが必要だと指摘しています。

シードフレーズの仕組み

シードフレーズの最も一般的な標準はBIP-39で、生の乱数を単語に変換するBitcoinの仕様です。

ウォレットは128〜256ビットの乱数を生成し、そのビットのSHA-256ハッシュから短いチェックサムを追加します。その後、結果を11ビットのグループに分割し、各グループは0〜2,047の数字となり、2,048個の固定リストから1つの単語を選択します。

方式：12単語のフレーズは12 x 11 = 132ビットで、そのうち128ビットがランダム、4ビットがチェックサムです。したがって、ランダムな12単語のリストのうちチェックに合格するのは16通りのうち1つだけで、2,048個の単語のうち128個のみが任意の11単語のセットを終わらせることができます。24単語のフレーズでは、最後の単語として8通りが可能です。

このチェックサムはタイプミスのガードです。BIP-39は、チェックサムが失敗したときにソフトウェアが「警告を発する」必要があると規定しており、リストの設計者は各単語を最初の4文字で識別できる単語を選択しました。

BIP-39では、オプションのパスフレーズを追加することもでき、一部のウォレットでは13番目または25番目の単語と呼んでいます。

単語とパスフレーズは、ハッシュ関数の2,048ラウンドを経て512ビットのシードを生成します。「すべてのパスフレーズが有効なシードを生成する」ため、パスフレーズのタイプミスはエラーメッセージなしに異なる空のウォレットを開いてしまいます。

そのシードはBIP-32に渡され、ウォレット全体の「単一のシードから鍵ペアのツリーを導出する」方法を説明しています。ウォレットが生成するすべてのアドレスはその1つのツリーから成長するため、決定論的ウォレットは「頻繁なバックアップを必要とせず」、1枚の紙ですべてを復元できます。

シードフレーズは推測されるか？

適切に生成されたシードフレーズは、実用的な意味で推測されることはありません。12単語のフレーズには2^128通りの可能性があり、これは39桁の数字です。24単語のフレーズでは2^256、約1.16 x 10^77通りになります。

問題は、12単語は40ビットの乱数でも128ビットでも見た目が同じだということです。CoinkiteのColdcardエントロピーバグに関する技術解説では、Mk2およびMk3のファームウェア4.0.1〜4.1.9で生成されたシードは約40ビットであると暫定見積もりで示されています。

Mk4およびMk5デバイス、ならびにQはセキュアチップからの追加の乱数を混合し、約72ビットに達しました。Coinkiteは、デバイス自体は「ハッキングされた」わけでもリモートアクセスされたわけでもないとしています。攻撃者は弱いシードをオフラインで再生成し、対応する秘密鍵を再構築して資金を奪いました。

方式：40ビットでは2^40通り、約1.1兆通りのシードが可能です。完全な128ビットではその約3.1 x 10^26倍（2^88）であり、どちらの数字もCoinkiteの暫定的な40ビットに基づくものです。

シードフレーズへのブルートフォース攻撃が成功するのは、その乱数が弱いか、一部が漏洩した場合です。

Coinkiteは、この小さな検索空間を影響を受けるウォレットに対する「直接的なセキュリティリスク」と呼び、所有者が少なくとも50回のプライベートダイスロールを追加したシードは対象外としています。強力でユニークなパスフレーズは露出を軽減するが、シード自体は修復しないと述べています。

単語からはその生成方法が決してわからないため、シードフレーズは信頼できるジェネレーターから生成すべきであり、自分で考えるべきではありません。

Coldcardの脆弱性について開発者が1年以上前に警告した方法に関するPhemexのレポートでは、このバグが出荷デバイスにどの期間残っていたかを解説しています。

シードフレーズと秘密鍵の違い

秘密鍵は1つのアドレスに対して署名し、シードフレーズはウォレット内のすべての秘密鍵の元となるソースです。誰かに単一の秘密鍵を渡すと、1つのアドレスを渡すことになります。シードフレーズを渡すと、ウォレットが作成した、または今後作成するすべてのアドレスを渡すことになります。

SECは秘密鍵をパスワードに、公開鍵をメールアドレスに例えています。Phemexのビットコインの公開鍵と秘密鍵の仕組みでは、このペアについてより詳しく解説しています。

生の秘密鍵は長い文字列で、1文字間違っただけで使えなくなることがあります。シード単語はより寛容で、1〜2文字読めない単語があっても通常はリストから推測できます。

シードフレーズのバックアップ方法

Bitcoinのシードフレーズバックアップには2つの役割があります。火災や水害に耐えなければならず、他の誰にも読まれない場所に保管する必要があります。

1. ウォレットに最初に表示されたときに、順番に鉛筆で酸-freeの紙に手書きします。Bitcoin Wikiは、長持ちさせる必要がある紙にはペンよりも鉛筆を高く評価しています。

2. 単語の横にウォレットソフトウェアの名前を書きます。Wikiは、フレーズは通常それを作成したソフトウェアでのみ機能すると指摘しています。

3. 2枚目のコピーを金属に刻印または彫刻します。Wikiは火災や水害のリスクがある場所ではこれを推奨しています。

4. 紙と金属のコピーを自分で管理する2つの別々の場所に保管し、1つの火災や1つの窃盗で両方を失わないようにします。

5. パスフレーズを使用する場合は、単語とは別に記録し、単語から離れた場所に保管します。Coinkiteは、パスフレーズを失うとウォレットも失うと警告しています。

6. ウォレットに資金を入れる前にバックアップを検証し、残りを送る前に少額のテスト金額を送ります。これはCoinkiteが影響を受けたシードを置き換える際に示すのと同じ順序です。

シードフレーズのリスクとよくある間違い

• ウェブサイトで入力する。 Bitcoin Wikiは、フレーズを「いかなるウェブサイトにも入力してはならない」としており、それを求める者は資金を狙っています。正当なリカバリーで他人の画面に単語を入力する必要はありません。

• 写真、クラウドメモ、またはパスワードマネージャー。 いずれもフレーズを接続されたデバイスのファイルにします。Wikiは、コンピュータファイルやオンラインコピーを推奨しない保管方法として挙げています。

• 6単語ずつに分割する。 分割された12単語フレーズの半分を見つけた者は、全体128ビットに対し約62ビットを検索するだけで済みます。6単語は66ビットを持ち、4ビットのチェックサムで62ビットに下がります。Wikiは分割を「ブルートフォースがはるかに簡単」と呼び、制御を分散するためのマルチシグネチャーウォレットを指摘しています。

• 自分で単語を選ぶ。 お気に入りの歌詞はウォレットが生成する乱数の一部しか持たず、手動で選んだリストのほとんどはチェックサムに失敗します。Bitcoin Wikiは率直に、人間は乱数生成が苦手だと述べています。

• パスフレーズを忘れる。 BIP-39のパスフレーズは、コンピュータ上のウォレットファイルを暗号化するパスワードとは別の秘密であり、それを失うとウォレットも失います。Wikiは、めったに入力しないパスフレーズをどれだけ覚えていられるかを過信しないよう警告しています。

Phemexでの安全な使い方

Phemexアカウントにはシードフレーズがありません。パスワードと2要素認証で動作し、Phemexがその背後にあるウォレットの鍵を保持しています。Phemexが暗号資産を保護する方法のページでは、ほとんどの顧客資産のオフラインコールドストレージと、送金時のマルチシグネチャー承認について説明しています。

PhemexのSafety Hubによるアカウントを保護する4つのチェックのまとめでは、Phemexスタッフがシードフレーズや秘密鍵を求めることはないと明記されています。同じルールがパスワードと2FAコードにも適用されます。

2つ目の罠はフレーズを完全にスキップします。このまとめでは、悪意のあるサイトは有害なコントラクトの承認をさせることができれば「シードフレーズを求める必要はない」と警告しています。署名する前にすべてのウォレット承認を読んでください。

自分のウォレットにコインを引き出すと、デバイスが故障した場合にそれらに戻る唯一の方法がシードフレーズになります。Phemexでの先物取引はアカウント内で完結し、シードフレーズに触れることはありません。先物はレバレッジを使用し、レバレッジポジションは損失が証拠金に達すると自動的にクローズされます。

よくある質問

シードフレーズは秘密鍵と同じですか？

いいえ、秘密鍵は1つのアドレスを管理し、シードフレーズはウォレット内のすべての秘密鍵の元となるマスターレコードです。フレーズを共有すると、すべてのアドレスが一度に公開されます。

シードフレーズは変更できますか？

いいえ、シードフレーズはウォレットが生成した後では編集できません。新しいフレーズで新しいウォレットを作成し、資金を移動します。Coinkiteは、ファームウェアアップデートでは古いシードが修復されないため、影響を受けたColdcardシードに対してこのアドバイスを提供しています。

シードフレーズは何単語ですか？

BIP-39では、3単語刻みで12〜24単語の任意の長さを許可しています。各ステップで32ビットの乱数が追加され、12単語で128ビット、24単語で256ビットになります。

シードフレーズの単語は重複できますか？

はい、各単語は独自の11ビットから来るため、BIP-39では重複を禁止していません。ランダムに生成された12単語フレーズの約3.2%に少なくとも1つの重複単語が含まれ、24単語フレーズでは約12.7%が該当します。

まとめ

シードフレーズはウォレットが生成した瞬間にすべての強度を得て、その後の紙にはその瞬間がどれだけうまくいったかが示されることはありません。そのため、2つの習慣を維持してください。カメラやクラウドアカウントが見たことのないオフラインで単語をバックアップする。ウォレットメーカーが乱数の欠陥を開示したら、古いフレーズは終了したものとして扱い、資金を新しいものに移動する。

免責事項：本記事は情報提供のみを目的としており、財務アドバイスではありません。暗号資産取引には多大なリスクが伴います。投資判断を行う前に必ずご自身で調査を行ってください。