コールドウォレットとは何ですか？暗号資産の秘密鍵を安全に保管するオフラインのストレージです。

2021年に2,400ドル相当の仮想通貨を失いました。MetaMaskのホットウォレットにすべてを保管していたため、正規のエアドロップサイトに見えたサイトで悪意のある承認ボタンをクリックしてしまったのです。その取引によって、私が承認していたすべてのERC-20トークンが流出してしまいました。わずか30秒の出来事でした。私はEtherscanのページをじっと見つめていましたが、USDC、LINK、UNIが次々とウォレットから消えていきました。秘密鍵は盗まれていません。シードフレーズも誰にも教えていません。しかし、ホットウォレットはオンライン状態であり、承認は無制限で、攻撃者のコントラクトは私が知らず知らずのうちに承認したとおりに動作したのです。

翌日、私はLedger Nano Xを購入しました。そして、現在取引していないものはすべてコールドストレージに移動しました。あれから3年が経ちましたが、それ以来、トークンを1つも失っていません。それは、リンクをクリックする際に賢くなったからではありません。私の秘密鍵がインターネットに接続されていないデバイスに保存されているため、悪意のあるウェブサイトがそれらにアクセスできないからです。

これがコールドウォレットの利点を2段落でまとめたものです。秘密鍵は、あなたの暗号資産を制御する唯一のものです。秘密鍵がオンライン上に存在すると、盗まれたり、不正な取引を承認するように騙されたりする可能性があります。一方、秘密鍵がオフラインに存在する場合、攻撃者はあなたのデバイスを物理的に入手しない限り、秘密鍵に触れることはできません。その他のことはすべて些細なことです。

コールドウォレットの仕組み：秘密鍵はオフラインのまま

仮想通貨に詳しくない友人に説明する際に私がよく使うたとえ話を使って、これを分かりやすく説明しましょう。

秘密鍵は銀行口座の署名印のようなものです。その印鑑を持っている人は誰でもお金を引き出すことができます。ホットウォレットは、その印鑑を職場の机の引き出しに保管しておくようなものです。便利で、必要な時に取り出せます。しかし、机のそばを通る人は誰でも理論的にはその印鑑を盗むことができるのです。あなたのコンピューター、ブラウザ、スマートフォンの拡張機能、MetaMaskがロック解除されている間にアクセスするすべてのウェブサイトは、すべてその印鑑に近接しています。

コールドウォレットは、切手を自宅の鍵のかかった金庫に保管するようなものです。何かに署名する必要があるときは、家に帰って金庫を開け、書類に切手を貼り、金庫を再び施錠し、署名済みの書類を銀行に持っていきます。切手は決して家から持ち出されることはありません。オフィスの誰もそれを見ることはありません。

技術的に言うと、MetaMask、Trust Wallet、Coinbase Wallet、Phantomなどはホットウォレットです。秘密鍵は24時間365日オンラインのデバイスに保存されます。一方、コールドウォレットは、インターネットに物理的に接続できない（または署名付きトランザクションを送信するために短時間だけ接続する）デバイスに秘密鍵を保存します。秘密鍵はデバイス上に保持されます。ブロックチェーンに送信されるのは署名付き出力であり、秘密鍵そのものではありません。

コールドウォレットから資金を盗むには、攻撃者はあなたのデバイス、PINコード、そしてシードフレーズのバックアップが必要です。一方、ホットウォレットの場合は、悪意のあるブラウザ拡張機能が1つあれば十分です。私は高い代償を払ってそれを学びました。

コールドウォレットの種類：ハードウェアウォレット、ペーパーウォレット、エアギャップウォレット

「コールドウォレット」とは、必ずしもLedger社のUSBのような小型デバイスを指すわけではありません。インターネットから秘密鍵を遠ざけるものであれば何でもコールドウォレットと言えます。実際には3つの形態が存在しますが、ほとんどの人にとって意味があるのはそのうちの1つだけです。

ハードウェアウォレットは最も分かりやすい選択肢であり、95%の人が「コールドウォレット」と言うときに指しているのはまさにこれです。Ledger、Trezor、Keystone、Tangemなどがその例です。これらは、セキュリティチップを搭載した小型デバイスで、鍵を保存し、物理ボタンを押すとトランザクションに署名します。価格はモデルや画面の機能性によって50ドルから250ドルまで異なります。

私の普段使いのウォレットはLedger Nano Xです。スマートフォンとはBluetoothで、ノートパソコンとはUSB-Cで接続しています。MetaMask経由でDeFi関連の操作を行う際、Ledgerの画面には承認しようとしている内容が正確に表示されます。「500 USDCを0x7a3bに送金…」と表示され、内容が期待どおりであることを確認した上で、両方のボタンを押します。フィッシングサイトが別の受取人アドレスを偽装しようとしても、Ledgerの画面には実際の送金先が表示されるので、すぐに気づくことができます。この小さな画面のおかげで、数えきれないほど多くの危機を回避できました。ホットウォレットはウェブサイトが指示する内容を表示しますが、Ledgerはスマートコントラクトが実際に記述している内容を表示します。

ペーパーウォレットは、パスワードを付箋に書き留めるのと同じような暗号通貨版です。シードフレーズまたは秘密鍵を紙に印刷し、安全な場所に保管します。無料。オフライン。しかし、火事、コーヒーをこぼす、好奇心旺盛な来客など、ちょっとしたことで大惨事になりかねません。ペーパーウォレットは、Ledgerが100ドルで、ほとんどの人が200ドル相当のビットコインを保有していた2015年には理にかなっていました。2026年には、ハードウェアウォレットが55ドルから販売されるようになります。もはや紙を主要なコールドストレージとして使用する理由はありません。スチールプレート（Cryptosteel、Billfodl）は現代版です。シードフレーズを耐火性、防水性の金属に刻印します。しかし、これらはシードフレーズのバックアップストレージであり、ハードウェアウォレットの代替品ではありません。

エアギャップデバイスは、 BluetoothやUSBが攻撃対象だと考える人向けです（技術的には確かに攻撃対象です）。ネットワークに一度も接続したことのないスマートフォンやタブレット。デバイス上で鍵が生成され、トランザクションはQRコードスキャンで署名されます。Keystone 3 Proはこのアイデアに基づいて製品全体を構築しました。USBポートも、Bluetooth無線も、WiFiチップもありません。KeystoneにQRコードが表示されたら、スマートフォンのカメラでスキャンすると、署名されたトランザクションがブロックチェーンに記録されます。デバイス自体はインターネットへの電子的な経路を一切持ちません。このレベルのセキュリティ意識に共感するなら、Keystoneはまさにあなたが求めているものです。

2026年に最も注目されるコールドウォレット

私は個人的に3種類のハードウェアウォレットを使用し、さらに2種類をテストしました。市場の現状は以下のとおりです。

Ledgerは販売台数で市場を席巻している。同社のLedger Liveアプリは、この分野で最高のコンパニオンソフトウェアだ。論争の的となったのは、2023年5月にLedgerが「Ledger Recover」というオプション機能を発表したことだった。これはシードフレーズを分割し、暗号化された断片をサードパーティの保管業者に保管するというものだった。仮想通貨コミュニティは激怒した。ハードウェアウォレットの最大の目的は、誰も自分の秘密鍵を保有しないことだ。それを複数の保管業者に分散させることは、その中核となる価値提案への裏切りのように感じられた。Ledgerはこの機能を維持したが、オプトイン方式にした。売上は一時的に落ち込んだが、その後回復した。しかし、セキュリティを重視するユーザーの間では、信頼の失墜が長く続いた。

Trezorはオープンソースの代替手段です。すべてのファームウェアは公開されており、監査可能で再現性があります。Trezor Safe 5ではShamirバックアップが追加されました。これはシードフレーズを複数のシェアに分割し、ウォレットを復元するには最低限のシェア数（例えば5つのうち3つ）が必要になります。バックアップの一つが盗まれた場合、他のバックアップがなければ役に立ちません。私はバックアップデバイスとしてTrezorを常備しています。

Keystone 3 Proは、極度の神経質な人向けです（もちろん敬意を込めて言っています）。USBポートもBluetoothもWi-Fiもありません。取引はQRコードで行われます。デバイスがQRコードを表示し、スマートフォンでスキャンすると、署名済みの取引情報が送信されます。インターネットへの電子的な接続は一切ありません。

Tangemはまさに異色の存在だ。クレジットカードサイズのNFCカードで、スマートフォンをかざすだけで署名できる。端末に画面がないため、セキュリティ面ではやや不利になる（カード自体で取引の詳細を確認できない）。しかし、そのシンプルさは他に類を見ない。私の母はTangemなら使えるだろう。Ledgerだと、私に電話しないと使えないのだから。

Ledgerのデータ漏洩：コールドウォレットでさえ注意が必要な理由

2020年12月。ハッカーがLedgerのマーケティングデータベースに侵入し、27万人の顧客の名前、メールアドレス、電話番号、自宅住所を盗み出した。秘密鍵は盗まれなかった。デバイスは正常に動作した。しかし、その後に起こったことは恐ろしいものだった。

攻撃者は流出したアドレスを使って、Ledgerのサポートメッセージそっくりのフィッシングメールを送信した。「お使いのデバイスが侵害されました。資金を保護するために、ここにシードフレーズを入力してください。」一部の顧客は、偽のLedgerレターヘッドに印刷された手紙を自宅に受け取った。私が知っているDiscordサーバーの少なくとも2人は、メール版に騙されてそれぞれ5桁の金額を失った。彼らは24個の単語をフィッシングページに入力した。数分で全てが失われた。

コールドウォレットは完璧に機能した。チップは鍵を安全に保管していた。ファームウェアに脆弱性はなかった。しかし、ある人間が偽のメールを読んでパニックになり、自らマスターキーを漏らしてしまった。このような事態を防ぐハードウェアは、この世に存在しない。

私はシードフレーズを鋼板に刻印しています。それは耐火金庫に保管されており、インターネット上では公開しません。私はこれまで、ネットワークに接続するいかなるデバイスにも、その24語を入力したことはありません。Ledgerのサポートがシードフレーズを尋ねることは決してありません。Trezorのサポートも同様です。もし誰かが尋ねてきたら、それはあなたを騙そうとしているのです。断言します。

DeFiでコールドウォレットを使用する：どちらか一方を選ぶ必要はない

よくある誤解：コールドウォレットを使うとDeFiは使えない。これは間違いです。ハードウェアウォレットを使えば、あらゆるDeFiプロトコルを実行できます。ワークフローは若干異なりますが、セキュリティの向上というメリットは十分にあります。

これが私のセットアップです。Ledger Nano XをUSB経由でノートパソコンに接続します。ChromeでMetaMaskを開き、Ledgerアカウントを選択します。Uniswapにアクセスします。「500 USDCをETHに交換」をクリックします。MetaMaskがLedgerにリクエストを送信します。Ledgerの画面が点灯します。「トランザクションを確認。500 USDCを交換…」と表示されます。内容を確認します。問題なさそうです。両方のボタンを押します。トランザクションが署名され、ブロードキャストされ、確認されました。私の秘密鍵はLedgerから一度も出ませんでした。ソフトウェアウォレットと比較すると、全体でせいぜい15秒ほどしかかかりませんでした。

モバイル端末では、WalletConnectが便利です。スマートフォンでDeFiアプリを開き、Ledger LiveでQRコードをスキャンして、端末上で承認するだけです。私はデスクを離れている時に、ガバナンス投票を迅速に行うためにこれを使っています。Aave、Lido、その他主要なプロトコルのほとんどに対応しています。

ハードウェアウォレットを使ったDeFiについて、個人的な経験から一つ注意しておきたいことがあります。それは、ブラインド署名です。LedgerをMetaMaskに接続した最初の週に、この問題に遭遇しました。スマートコントラクトの中には、Ledgerの画面では完全に解析できないデータを送信するものがあります。「0xABCに100 USDCを送金してください…」と表示される代わりに、16進数の文字が表示され、「このデータを確認してください」と求められます。これでは、ハードウェアウォレットを使う意味が全くありません。結局、コンピューターの画面を信用するしかなく、まさにコールドウォレットを購入した目的である状況から抜け出せなくなってしまいます。

LedgerとTrezorは、一般的なDeFiコントラクトの解析能力が向上しました。Uniswapのスワップ、Aaveのデポジット、基本的なERC-20の送金などはすべて、読みやすい詳細が表示されるようになりました。しかし、特殊なプロトコル、新しいコントラクト、特殊な関数呼び出しを使用するものは、依然として生の16進数で表示されます。私のルールは、Ledgerが署名する内容を平文で表示できない場合は、署名しないということです。Etherscanでトランザクションデータを手動で確認します。これには1分余計にかかります。この1分のおかげで、MetaMaskだけで盲目的に承認していたであろう、少なくとも2件の怪しい承認を回避することができました。

ハードウェアウォレット市場は成長を続けています。世界の売上高は2023年の約3億5000万ドルから2025年には5億ドルを突破しました。大手取引所のハッキング、DeFiの脆弱性を利用した攻撃、注目を集めるウォレットからの資金流出事件が発生するたびに、人々はホットウォレットからコールドストレージへと移行しています。その傾向は明らかです。オンライン攻撃で失う金額が増えるほど、ハードウェアウォレットを購入する人が増えるのです。業界は、より優れた画面、より高度な解析機能、より優れたコンパニオンアプリ、そしてより低価格なエントリーモデルでこれに対応しています。

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.