暗号通貨ハードウェアウォレットとは？初心者向けセキュリティガイド

Chainalysisによると、2024年に窃盗犯が仮想通貨ユーザーから盗んだ金額は22億ドルに上る。そして、その約44%は、ある一つの原因によるものだった。それは、誰かが秘密鍵を入手したことだ。

暗号技術が破られたわけではない。ビットコインもイーサリアムもまだ機能している。ただ、攻撃者がアクセスした際に、鍵が間違ったデバイスに保存されていただけだ。

暗号通貨ハードウェアウォレットは、その特定の問題を解決するだけで、それ以外の問題はほとんど解決しません。画面付きのUSBメモリのようなものだと考えてください。秘密鍵はデバイス上の密閉されたチップの中に保存されます。秘密鍵はデバイス上で直接トランザクションに署名され、ノートパソコンやスマートフォンにコピーされることはありません。コンピューターがマルウェアに感染した場合でも、最悪の事態はウォレットに署名を要求することです。ウォレットは署名する内容を表示します。あなたはそれを読んで、判断します。

暗号資産を取引所やブラウザ拡張機能で保管していて、まだハードウェアウォレットを購入していない方は、ぜひこのガイドをご覧ください。ハードウェアウォレットの機能、できないこと、実際に人々が被害に遭う攻撃の種類、そして詐欺に遭わずに購入する方法について詳しく解説します。

暗号通貨ハードウェアウォレットを分かりやすく解説

簡単に言うと、ハードウェアウォレットとは、多くの場合、厚みのあるUSBメモリのような形状をした小型の物理デバイスで、仮想通貨の秘密鍵をオフラインで保存するものです。ボタン付きのものもあれば、タッチスクリーン搭載のものもあります。高価なものにはBluetooth機能も付いています。そして、その名前とは裏腹に、実際の仮想通貨は保存されません。この点が、ほとんどの初心者がつまずくところです。

では、あなたのコインはどこに保管されているのでしょうか？ブロックチェーン上です。ブロックチェーンとは、世界中の何千台ものコンピューターにコピーされた公開台帳のことです。ウォレットはコイン自体を保管するのではなく、コインがあなたのものであることを証明し、使用を可能にする暗号鍵を保管します。金塊が保管されている金庫を想像してみてください。その金庫がブロックチェーンです。ウォレットは、その金庫を開ける唯一の鍵なのです。

バックアップなしでデバイスを紛失すると、コインは金庫の中にあるままですが、身動きが取れなくなってしまいます。誰かに鍵を渡してしまうと、朝のコーヒーを飲み終える前にすべて盗まれてしまうでしょう。

ウォレットの役割はただ一つ。秘密鍵をオフラインで保管すること。デバイス内で各トランザクションに署名すること。攻撃者に感染させられた可能性のあるノートパソコンやスマートフォンに秘密鍵を触れさせないこと。それだけです。このたった一つの設計上の決定こそが、129ドルの小さなハードウェアウォレットと、大手取引所が数十億ドルもの顧客資金を保護するために採用しているコールドストレージ方式との違いを生み出しているのです。ハードウェアウォレットは自己管理のゴールドスタンダードとされていますが、正直なところ、その理由は実にシンプルです。

ハードウェアウォレットは画面の裏側でどのように動作するのか？

ウォレットが機能する仕組みは3つの要素から成り立っています。まず、秘密鍵が格納され、小型の専用オペレーティングシステムが動作するセキュアチップ。次に、ノートパソコンを信頼することなく署名内容を確認できる画面とボタン（最新機種ではタッチスクリーン）。そして最後に、ブロックチェーンと通信するスマートフォンまたはコンピューター上のコンパニオンアプリです。

ハードウェアウォレットのメリットが実際にどのように現れるか見てみたいですか？ハードウェアウォレットから仮想通貨を送金するとどうなるかをご覧ください。手順は以下のとおりです。

1. コンパニオンアプリを開き、「送信」をタップし、受取人のアドレスと金額を入力します。友人に「0.1 BTC」と送信してください。

2. アプリは署名されていないトランザクションを作成し、USB、Bluetooth、またはウォレットがエアギャップされている場合はQRコードを介してデバイスに送信します。

3. ハードウェアウォレットは、専用の小さな画面に送金先アドレスと金額を表示します。

4. 両方を読みます。物理ボタンを押して承認するか、拒否して立ち去ります。

5. チップは、デバイス内部で秘密鍵を使ってトランザクションに署名します。鍵は決して移動しません。

6. 署名済みのトランザクションはアプリに戻り、アプリはそれをブロックチェーンにブロードキャストします。完了です。

秘密鍵はデバイスから決して外部に持ち出されません。絶対にです。たとえノートパソコンにマルウェアが蔓延していたとしても、マルウェアは不正な取引を提案することしかできません。ウォレット画面を見るあなたの目が最後の防衛線です。エンジニアはこれを「画面に表示されているものが署名される」と呼んでいます。古い用語では、同じ理由でこのデバイスを「署名装置」と呼んでいました。つまり、このデバイスが行うのは取引への署名だけなのです。

ホットウォレット vs ソフトウェアウォレット vs ハードウェアウォレット

ホットウォレットとは、秘密鍵が常にインターネットに接続されたデバイスに保存されている暗号資産ウォレットのことです。モバイルウォレット、デスクトップウォレット、MetaMaskのようなブラウザ拡張機能、取引所ウォレットアプリなど、すべてがホットウォレットです。これらは非常に便利です。タップして署名し、送信すれば完了です。しかし、同時に泥棒にとって格好の侵入口にもなり得ます。

ソフトウェアウォレットは、ホットウォレットやアプリケーションベースのウォレットなどを含む、より広いカテゴリーです。その中でも、カストディアルウォレットは秘密鍵を企業のサーバーに保管し（取引所が鍵を保管します）、非カストディアルソフトウェアウォレットは秘密鍵をスマートフォンやブラウザに保存します。ほとんどの人はこれらの用語を曖昧に使っています。ハードウェアウォレットは3番目のタイプのウォレットであり、秘密鍵のオフライン保証が実際に有効な唯一のウォレットです。

トレードオフは確かに存在する。

経験豊富な仮想通貨ユーザーのほとんどは、両方を使い分けています。日々の生活費はスマートフォンのホットウォレットに、より高額な資産はハードウェアウォレットのコールドウォレットに保管しています。仮想通貨は現金と同じように扱いましょう。数百ドル程度はポケットに入れ、残りは銀行に預ける、といった具合です。ハードウェアウォレットは、デジタル資産の大部分を、実際に使用していないときに保管する場所です。

コールドウォレット、コールドストレージ、そしてブロックチェーンの真実

人々は「コールドウォレット」と「ハードウェアウォレット」という言葉を、まるで同じ意味であるかのように安易に使う。確かにほぼ同じだが、完全に同じではない。

コールドストレージとは、インターネットに接続されていないオフラインの秘密鍵のことです。シードフレーズが書かれた紙切れであるペーパーウォレットは、厳密にはコールドストレージです。引き出しにしまってあるハードウェアウォレットも同様です。デバイスをコンピュータに接続して暗号通貨の取引を行うと、一時的に温度が上昇します。それでも、秘密鍵はチップ内部に保持されるため、ホットウォレットよりは安全ですが、完全にエアギャップされているわけではありません。

そのため、一部の上級ユーザーは、ほとんど接続しない「ディープコールド」ウォレットと、実際に使用する「ウォーム」ハードウェアウォレットを別々に用意しています。どちらもハードウェアウォレットであることに変わりはありません。どちらも秘密鍵はほとんどの場合オフラインで保管されます。違いは、デバイスをどれくらいの頻度で引き出しから取り出すかという点だけです。

Coinbaseは、顧客資産の98%以上がコールドストレージに保管されていると公言している。この数字は誇張ではない。129ドルのデバイスを持つ個人投資家が小規模で利用しているのと同じ原理だ。資産はブロックチェーン上に残るが、それを移動するための鍵はオンライン上のあらゆるものから遠く離れた場所に保管される。ブロックチェーン自体は変わらない。変わるのは、誰が鍵を管理し、その鍵がどこに保管されているかということだけだ。

ハードウェアウォレットが阻止する暗号資産のセキュリティ脅威

では、なぜプラスチックの塊に129ドルも払う必要があるのでしょうか？理由は簡単です。人々が実際にどのように仮想通貨を失っているのかを見てみましょう。TRM Labsの調査によると、2025年の最初の6か月だけで21億ドルが盗まれました。その損失の約80%は、秘密鍵の盗難、シードフレーズの窃盗、フロントエンドの乗っ取りによるものでした。スマートコントラクトのバグ？ほとんど影響はありませんでした。今や主な攻撃対象はプロトコルではなくウォレットなのです。

ハードウェアウォレットが実際に防御する対象は以下のとおりです。

• クリップボードマルウェア。ClipBankerのようなトロイの木馬はバックグラウンドで静かに動作します。ウォレットアドレスをコピーすると、貼り付ける前にマルウェアがそれを攻撃者のアドレスにすり替えます。カスペルスキーは、2025年初頭だけで2,000件以上のClipBankerの検出を記録しました。ハードウェアウォレットは、信頼できる画面に実際の宛先を表示するため、承認ボタンを押す前にすり替えに気づくことができます。
• フィッシングページや偽アプリ。偽の取引所ページ、悪意のあるブラウザ拡張機能、Telegram上の怪しい「サポート」メッセージ。これらはすべて、あなたのシードフレーズを要求します。ハードウェアウォレットは、セットアップ手順以外でシードフレーズを要求することはありません。もし、どこかで、24個の単語からなるシードフレーズを要求してきたら、それは詐欺です。すぐに手を引いてください。
• 取引所が破綻する。 2022年末にFTXが破綻した際、顧客は「秘密鍵がなければ、暗号資産は自分のものにならない」という言葉の意味を身をもって知った。出金は凍結され、資金は消え去った。ハードウェアウォレットを使えば、誰かがあなたの暗号資産の使用を阻止できる唯一の方法は、デバイスとシードフレーズをあなたの手から奪うことだけだ。
• アドレスポイズニング。 2025年1月に発表された学術論文によると、2022年から2024年の間に6,633件の被害が確認され、総額8,380万ドルの損失が発生しました。あるトレーダーは2025年後半に1回の取引で5,000万ドル相当のUSDTを失いました。この攻撃は、類似のアドレスを取引履歴に大量に送りつけ、次の送金時に誤ったアドレスをコピーすることを期待します。ウォレット画面で宛先アドレス全体を確認すれば、この攻撃は阻止されます。
• ブラウザの脆弱性や悪意のあるJavaScript。世界最大の仮想通貨保管機関でさえ、不正なフロントエンドの脅威から免れることはできません。ハードウェアウォレットはデフォルトでノートパソコンを信頼できないデバイスとして扱うため、不正なブラウザを使用しても、ユーザーがボタンを押さない限り資金を移動させることはできません。

パターンが見えてきましたか？このデバイスは攻撃を阻止するものではありません。ウォレットを持っているかどうかに関わらず、攻撃は絶え間なく続きます。このデバイスの役割は、攻撃者とあなたの鍵の間にガラスとシリコンを挟み込み、最終的な判断をあなたに委ねることです。承認するか、拒否するか。すべてはあなた次第です。

ビットコイン強盗事件とハードウェアウォレットの教訓

2025年2月21日。取引所Bybitは、コールドウォレットとウォームウォレット間の通常の送金処理を実行した。約15億ドル相当のイーサリアムが消失した。3日後、FBIのインターネット犯罪苦情センターは、これが記録上最大の仮想通貨窃盗事件であることを認めた。犯人はほぼ間違いなく北朝鮮のラザルスグループである。そして、ここからが驚くべき点だ。攻撃者はハードウェアウォレットを破壊したのではなく、署名者が見ていたフロントエンドを改ざんしたのだ。署名者のうち数人は、信頼できる画面で実際の送金先を確認することなく、悪意のある取引を承認してしまった。

これはこの分野全体で最も重要な教訓であり、マーケティングとは真っ向から対立するものです。ハードウェアウォレットは必要不可欠ですが、それだけでは十分ではありません。取引に盲目的に署名したり、デバイスの画面に表示されている内容を読まずに承認ボタンを押した瞬間、デバイスが提供する唯一の保護機能を放棄することになります。TRM Labsは、2025年上半期の盗難件数のうち北朝鮮が占める割合は約70%と推定しています。そのかなりの部分は、ハードウェアウォレットを魔法の箱のように扱った人々によるものです。

2025年5月にSolanaで発生したファントムウォレット事件も、一般ユーザーを同様に襲いました。約80人の被害者が、実際の内容が不透明なコードの裏に隠されていた取引を承認した結果、合計150万ドルを失いました。ですから、デバイスをよく見てください。すべての行を読んでください。画面に表示されているアドレスが入力したアドレスと一致しない場合、またはトークンの金額が少しでも異なる場合は、拒否してください。取引を中止してください。最新のウォレットでは、これを「クリア署名」と呼んでいます。これは、デバイスが生の16進数の塊ではなく、人間が読める詳細情報を表示することを指す洒落た表現です。

もう一つ知っておくべき話があります。2019年、セキュリティ研究者たちは、Trezor OneまたはModel Tに物理的にアクセスできる攻撃者が、電圧グリッチを利用して約15分でシードフレーズを抽出できることを実証しました。恐ろしい話です。しかし、その対策は驚くほど簡単でした。デバイスが保存しないシードフレーズの上にパスフレーズを追加するだけです。この話から得られる教訓は、ハードウェアは頑丈ですが、莫大な予算と物理的な所有という条件を満たせるデバイスは地球上に存在しないということです。バックアップの徹底と強力なパスフレーズは依然として重要であり、これからもずっと重要であり続けるでしょう。

信頼できるハードウェアウォレットの選び方

ハードウェアウォレット市場は規模は小さいものの、競争が激しい。LedgerとTrezorの2社で市場の約70%を占めている。Ledgerは2014年以降、800万台以上を出荷しており、Trezorも200万台以上を出荷している。特にビットコイン専用ウォレットやエアギャップウォレットといった用途においては、他にも有力な代替製品が多数存在する。

ハードウェアウォレットを購入する前に考慮すべき5つのポイント：

1.オープンソースのファームウェア。TrezorとColdcardはファームウェアを公開している。Ledgerは完全には公開していないが、今後さらに公開していくと表明している。オープンソースだからといってバグが全くないことを保証するわけではないが、独立した研究者がコードを検証できる。万全の信頼を求めるユーザーにとって、これは重要な点だ。

2.セキュアエレメントチップ。認証済みのセキュアエレメント（多くの場合EAL5+以上）を使用するデバイスは、通常のマイクロコントローラで構築されたものよりも、物理的な改ざんやサイドチャネル攻撃に対する耐性が優れています。最新のウォレットのほとんどはセキュアエレメントを使用しています。ビットコインのみを使用する一部の純粋主義者は、スタック全体を監査できるように、セキュアエレメントが閉じられていないウォレットを好みます。2025年にリリースされたTrezor Safe 7は、TROPIC01と呼ばれるオープンソースのセキュアエレメントを搭載しており、この難題を解決しようとする最初の試みです。

3.明確な署名サポート。デバイスは、宛先アドレス、トークン、金額を人間が読みやすい形式で画面に表示する必要があります。詳細を確認せずに署名を強制するウォレットは、既知の脆弱性です。2025年のセキュリティ研究者によるレビューでは、この理由から、特に通話データ復号機能に関してデバイスが評価されました。

4.エアギャップまたはUSBのみ。Coldcard Q1やFoundation Passportなどの一部のウォレットは、カメラとmicroSDカードを介して通信し、コンピュータに一切接続しません。これはほとんどのユーザーにとってはオーバースペックですが、非常に高額な残高を扱う場合には便利です。日常的な使用にはUSBのみで十分です。

5.購入場所。ハードウェアウォレットはウォレットメーカーから直接購入してください。見知らぬ人から中古のハードウェアウォレットを決して使用しないでください。2020年のLedgerのeコマース侵害では、110万件のメールアドレスと27万2000件の氏名、電話番号、自宅住所が流出し、何年にもわたるフィッシングメールや、物理的な郵送による「偽の交換デバイス」詐欺の温床となりました。教訓は、Ledgerが無謀だったということではなく、ハードウェアウォレットブランドに関連付けられたアドレスリストは、犯罪者にとって魅力的な標的になるということです。ホログラムシールを確認してください。箱が開けられたように見える場合は、デバイスを初期化しないでください。

信頼できるメーカーから直接購入し、自分で設定した、誰にも知られていないシードフレーズを使用したハードウェアウォレットは、スマートフォンで利用できるものとは全く異なるセキュリティレベルにあります。ハードウェアウォレットのセキュリティ上の利点は、サプライチェーンがクリーンな場合にのみ有効です。

2026年に人気のハードウェアウォレット：簡単な比較

市場は、実際の使用場面の大部分に対応できるごく少数のデバイスに落ち着いてきています。以下の価格は、2026年の公式小売価格です。

業界データによると、ハードウェアウォレットの年間売上高は2025年に前年比約31%増加した。これは主にFTX後の自己管理に対する不安が要因となっている。北米は世界市場の約40%を占めており、この分野はもはやニッチ市場ではない。

ブランド変更に関する注記：Ledgerは、自社デバイスをウォレットではなく「署名装置」と呼ぶようになりました。これは、これらのデバイスが実際に価値を保存するものではないという主張に基づいています。この用語は広く定着していません。ほとんどの人は依然としてハードウェアウォレットと呼んでいますが、この表現自体は技術的には正しいと言えます。

ハードウェアウォレットを複数のウォレットで使用する方法

1つのハードウェアウォレットで、複数のブロックチェーンにわたる複数のウォレットを管理できます。1つのデバイス、1つのシードフレーズで、数百のアカウントを操作できます。これはバグではなく、機能です。

ブランドに関わらず、セットアップの手順はおおよそ以下のようになります。

1.メーカーから直接購入してください。パッケージの封印を確認してください。

2.デバイスを自分で初期化してください。デバイスをコンピュータに接続し、公式コンパニオンアプリをインストールして、デバイスの画面に新しいシードフレーズを生成させてください。箱に印刷されているシードフレーズは絶対に使用しないでください。また、誰からもシードフレーズを受け取らないでください。

3.シードフレーズを紙に書き留めてください。12語または24語を順番に書き出してください。順番が重要です。デバイスを紛失した場合、資金を取り戻せるのはこれだけです。このリストを持っている人は誰でもあなたの資金を抜き取ることができます。

4.強力なPINを設定してください。ほとんどのデバイスでは4～8桁のPINを設定でき、間違ったPINを入力すると段階的にロックアウトされます。

5.必要に応じて、パスフレーズを追加します。パスフレーズとは、デバイスに保存されない追加の単語または文章です。これにより、シードの上に隠された第2のウォレットが作成されます。誰かがシードを盗んだとしても、パスフレーズを知らなければ、空の偽ウォレットしか入手できません。これが、電圧グリッチ攻撃やほとんどの物理的強制シナリオを無効化する仕組みです。

6.少額のテスト送金を行います。実際のお金を送金する前に、新しいウォレットに数ドルを送金し、その後、数ドルを元のウォレットに送金します。その都度、デバイス画面に表示されるアドレスを確認してください。

7.シードフレーズは、物理的に2か所に分け、それぞれ別の場所に保管してください。耐火性・耐水性の点では、紙よりも鋼板の方が優れています。貸金庫と自宅の金庫を併用するのが一般的な方法です。シードフレーズは絶対にデジタルデータとして保存しないでください。写真、クラウドバックアップ、パスワードマネージャーなどにも保存しないでください。

仮想通貨を送金するには、デバイスを接続し、アプリを開き、送金先アドレスを貼り付けるかスキャンし、承認ボタンを押す前にデバイス画面に表示されるアドレスを確認してください。毎回必ずこの手順を踏んでください。上記のクリップボードマルウェアやアドレスポイズニング攻撃はすべて、この手順を省略することを悪用しています。

非常に多額の暗号資産を保有している場合、複数のハードウェアウォレットに資金を分散させ、異なる場所に保管するのが一般的です。単一のハードウェアウォレットは、単一障害点となるためです。長期保管用と日常使用用の2つのデバイスにそれぞれ異なるシードを設定し、2つのデバイスを使用することは、健全なアップグレードと言えます。これらをモバイルウォレットと組み合わせれば、ソフトウェアとハードウェアが連携して機能します。少額の暗号資産はアプリで手軽に管理でき、大部分の資金はコールドストレージで安全に保管できます。

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.