チャプター5：カストディ（Custody）

概要

暗号資産の世界における「カストディ（Custody）」とは、デジタル資産を安全に保管・管理するための方法論全般を指します。伝統的な金融において銀行が顧客の資産を預かるように、暗号資産においては秘密鍵（Private Key）が資産の実質的な所有権を表します。したがって、カストディの本質は「誰が、どのように秘密鍵を管理するか」という一点に集約されます。「Not your keys, not your coins（鍵がなければコインもない）」というよく知られた格言は、暗号資産カストディの哲学をこの上なく端的に表しています。

カストディの方式は大きく、**セルフカストディ（Self-Custody）と委託型カストディ（Custodial）**の二つに分けられます。セルフカストディは個人が自ら鍵を管理する方式であり、高い自律性を持つ一方で全責任を負います。一方、委託型カストディは取引所や専門機関が鍵を代わりに管理する方式で、利便性を提供しますが、第三者への信頼を前提とします。FTXの崩壊をはじめとする一連の事件は委託型カストディのリスクを如実に示し、セルフカストディと強固なセキュリティソリューションへの関心をさらに高める契機となりました。

本チャプターでは、カストディの根幹をなす五つの核心的な概念を取り上げます。個人レベルの鍵バックアップ標準であるシードフレーズ（BIP-39）から始まり、物理的なセキュリティを提供するハードウェアウォレット、複数の署名を要求するマルチシグ、暗号学的に鍵を分散管理するMPC（マルチパーティ計算）、そして機関レベルのセキュリティを実現するHSM（ハードウェア・セキュリティ・モジュール）まで、順を追って解説します。これらの概念を体系的に理解することで、さまざまな状況や規模に応じた最適なカストディ戦略を構築できるようになるでしょう。

---

シードフレーズ（BIP-39）

定義

シードフレーズ（Seed Phrase）とは、暗号資産ウォレットのマスターキーとして機能する、12個または24個の英単語からなるリストです。BIP-39（Bitcoin Improvement Proposal 39）標準によって定義されており、内部的には128ビットまたは256ビットの暗号学的ランダム性（エントロピー）を、2,048語からなる標準ワードリストにエンコードしています。シードフレーズは、階層的決定性（Hierarchical Deterministic、HD）ウォレット構造と組み合わせることで、単一のルートシード（Root Seed）から理論上無限に近い数の秘密鍵とアドレスを決定論的に導出できます。

シードフレーズの最も重要な特性は、復元可能性です。ハードウェアウォレットを紛失または破損した場合でも、シードフレーズを安全に保管していれば、互換性のあるウォレットであればどれでも全資産を完全に復元できます。これは複雑な16進数の秘密鍵を直接扱う場合と比べ、はるかに人間にとって扱いやすいバックアップ機構を提供します。

核心ポイント

• BIP-39による標準化：2,048語の標準ワードリストを使用し、最後の単語にはエラー検出のためのチェックサム（Checksum）が含まれます。この標準化により、Ledger、Trezor、MetaMaskなど異なるウォレット間での相互運用性が保証されています。

• HDウォレットとの連携：BIP-32およびBIP-44標準と組み合わせることで、シードフレーズ一つからBitcoin、Ethereumなど複数のブロックチェーンにわたる数千ものアカウントとアドレスを、体系的なツリー構造で導出できます。各導出パス（Derivation Path）は、コインの種類、アカウント番号、受取/お釣り用アドレスなどを区別します。

• パスフレーズ（25番目の単語）：オプションとして、任意の文字列をパスフレーズとして追加すると、まったく異なるウォレットが生成されます。これは強制的な状況において、少額の資産のみを持つ「おとり」ウォレットを提示するという合理的否認（Plausible Deniability）を可能にします。パスフレーズはシードフレーズとは別に管理する必要があります。

• 絶対的なセキュリティ管理の重要性：シードフレーズを所持する者は、そのウォレットの全資産を支配できます。スクリーンショットやクラウドストレージなどデジタル形式での保管は厳禁であり、耐火・防水性のある金属板への刻印といった物理的なバックアップが強く推奨されます。

• エントロピーとセキュリティ強度：12単語は128ビット、24単語は256ビットのエントロピーを提供します。現在の計算能力ではブルートフォース攻撃は事実上不可能であり、セキュリティ上の弱点は技術そのものよりも、人間による管理ミスに起因するケースがほとんどです。

関連する概念

シードフレーズはカストディのエコシステムにおける出発点です。ハードウェアウォレットはシードフレーズを生成し、内部で安全に保管する主要な手段であり、シードフレーズなしにはハードウェアウォレットの復元はできません。マルチシグとMPCは、シードフレーズが単一障害点（Single Point of Failure）になるという根本的な課題を克服するために登場したソリューションであり、鍵管理のリスクを複数の場所に分散させます。HSMは機関環境において、シードフレーズに相当するマスターキー素材を安全に保管するハードウェアソリューションです。

---

ハードウェアウォレット

定義

ハードウェアウォレット（Hardware Wallet）とは、秘密鍵をインターネットから隔離された耐タンパー性ハードウェアデバイス内に保管し、トランザクションの署名（Transaction Signing）処理をデバイス内部のみで行うよう設計された専用セキュリティデバイスです。核心的な原則は、秘密鍵が絶対にデバイスの外に出ないという点にあります。ユーザーがトランザクションを送信する際、実際の署名はハードウェアウォレット内部で行われ、署名済みトランザクション（Signed Transaction）のみがインターネットに接続されたコンピューターへ送信されます。この方式はエアギャップ（Air-gap）署名とも呼ばれます。

現在市場をリードする製品としては、Ledger（Nano S Plus、Nano X、Flexなど）とTrezor（Model One、Model T、Safeシリーズ）があり、高度なセキュリティを求めるユーザー向けのColdcard（Bitcoin専用）やKeystoneなども注目を集めています。ハードウェアウォレットは現在、個人によるセルフカストディ（Individual Self-Custody）の最高水準（Gold Standard）として広く認められています。

核心ポイント

• セキュアエレメント（Secure Element、SE）：多くのハードウェアウォレットは、スマートカードなどにも使用されるCC EAL5+以上の認証を取得したセキュアエレメントチップを搭載しています。このチップは物理的なタンピング（Tampering）、サイドチャネル攻撃（Side-Channel Attack）、電圧グリッチング（Voltage Glitching）など高度なハードウェア攻撃への耐性を備えています。Ledgerがセキュアエレメントを搭載している一方、Trezorはオープンソースファームウェアによる透明性を重視した設計で差別化を図っています。

• 物理的な確認メカニズム：ハードウェアウォレットには画面とボタン（またはタッチスクリーン）が内蔵されており、ユーザーはデバイス本体でトランザクションの送付先アドレスと金額を直接確認・承認します。これにより、PCがマルウェアに感染していた場合でも、誤ったアドレスへの署名を防止できます。

• オフラインでの鍵生成：初期設定時に、シードフレーズと秘密鍵の生成が完全にオフライン環境で行われます。鍵の生成プロセスにインターネット接続を必要としないため、リモートハッキングによる鍵の窃取リスクが根本的に排除されます。

• サプライチェーン攻撃（Supply Chain Attack）のリスク：ハードウェアウォレットのセキュリティはデバイス自体の完全性に依存するため、製造や配送過程でデバイスが改ざんされるサプライチェーン攻撃が潜在的な脅威となります。必ず公式メーカーまたは正規販売店から購入し、受け取り時には封印の状態を丁寧に確認することが重要です。

• 限界と人的要因：ハードウェアウォレット自体がいかに強固であっても、シードフレーズが物理的に漏洩したり、フィッシング（Phishing）攻撃でパスフレーズが流出したりすれば、セキュリティは崩壊します。また、デバイスを紛失した際にバックアップのシードフレーズがなければ、資産を永久に失う可能性があります。

関連する概念

ハードウェアウォレットはシードフレーズの主要な保管・管理媒体です。個人ユーザーのレベルではハードウェアウォレットがカストディの最善策ですが、機関やDAOのような組織レベルでは、単一のハードウェアウォレットへの依存は依然として単一障害点を抱えます。この課題を解決するため、複数のハードウェアウォレットを署名者として活用するマルチシグ構成が広く採用されています。機関規模では、ハードウェアウォレットの代わりにHSMがより高いパフォーマンスとセキュリティ認証レベルで同様の役割を担います。

---

マルチシグ

定義

マルチシグ（Multisig、Multi-Signature）とは、特定のトランザクションを実行するために、複数の独立した秘密鍵のうち事前に定められた閾値（Threshold）以上の署名を要求するセキュリティメカニズムです。一般的に「M-of-N」方式で表現され、たとえば「2-of-3」は3つの鍵のうち最低2つの署名があって初めてトランザクションが有効になることを意味します。このルールは、信頼できる第三者を介することなく、ブロックチェーンプロトコルのレベルで直接強制されます。

Bitcoinでは、P2SH（Pay-to-Script-Hash）やP2WSH（Pay-to-Witness-Script-Hash）を通じてマルチシグがネイティブにサポートされています。Ethereumエコシステムでは、Gnosis Safe（現在はSafe{Wallet}）がスマートコントラクトベースのマルチシグのデファクトスタンダードとして確立されており、DAO財務管理、機関カストディ、プロジェクトチームの共同資金管理に幅広く活用されています。

核心ポイント

• 単一障害点の排除：単一鍵方式では、鍵が一つ漏洩または紛失するだけで全資産が危険にさらされます。マルチシグはこの問題を解消します。2-of-3構成では、鍵が一つ漏洩しても攻撃者は資産を奪取できず、鍵を一つ紛失しても残りの二つの鍵で資産を復元・移転することができます。

• ブロックチェーンレベルでの強制（On-chain Enforcement）：マルチシグのルールはスマートコントラクトまたはBitcoinスクリプトによってブロックチェーン上で強制されます。これは運営者や第三者の誠実さに依存するものではなく、完全な透明性と監査証跡（Audit Trail）を提供します。誰がいつ署名したかをオンチェーンで確認することが可能です。

• DAOと機関の財務管理：分散型自律組織（DAO）においてマルチシグは財務（Treasury）管理の中核ツールです。特定の個人一人が組織の資金を単独で支配することを防ぎ、意思決定に複数の当事者が関与することを技術的に強制することで、分散化の原則を実装します。

• 地理的分散配置：各署名鍵を異なる地域、異なるデバイス、異なる責任者に分配することができます。たとえば企業のカストディにおいて、CFO、CTO、外部監査人がそれぞれ一つの鍵を保有する構成により、内部統制（Internal Control）を強化できます。

• 課題と限界：マルチシグはトランザクションサイズとガスコストが増加し、複数の署名者間の調整が必要となるため運用上の複雑性が高まります。また、BitcoinのネイティブマルチシグはM-of-N構成がオンチェーンで公開されるため、プライバシーの観点で不利です。署名者間の通信遅延や鍵管理の複雑さも、実務上の課題として挙げられます。

関連する概念

マルチシグはハードウェアウォレットと組み合わせて使用されることが多くあります。各署名者が自身のハードウェアウォレットで署名する構成は、個人のセキュリティと分散制御を同時に実現する強力な方法です。MPCとの比較においては、マルチシグがオンチェーンで署名ポリシーを透明に公開するのに対し、MPCはオフチェーンで処理され通常の単一署名と区別がつかない点が異なります。両者は相互補完的であり、規模やプライバシー要件に応じて使い分けられます。HSMは機関環境において、マルチシグの各署名鍵を安全に保管するために活用できます。

---

MPC（マルチパーティ計算）

定義

MPC（Multi-Party Computation、マルチパーティ計算）とは、複数の参加者（Party）がそれぞれの秘密の入力値を互いに開示することなく、協調して特定の関数を計算できる暗号学的技術の総称です。暗号資産カストディの文脈では、MPCは具体的に**閾値署名方式（Threshold Signature Scheme、TSS）として実装されます。秘密鍵は最初から完全な形で存在するのではなく、代わりに複数の参加者に分散された鍵シェア（Key Share）**の形でのみ存在します。トランザクション署名の際には、閾値以上の参加者が各自の鍵シェアを使って協調的に署名を生成しますが、完全な秘密鍵はいかなる単一地点においても再構成されません。

MPCは、従来の鍵分割方式である**シャミアの秘密分散（Shamir's Secret Sharing）**とは異なります。シャミア方式では再構成時に完全な鍵が特定の地点に一時的に存在しますが、TSSベースのMPCでは署名プロセス全体を通じて完全な鍵が一度も再構成されません。

核心ポイント

• 鍵の完全な再構成が不要：MPCの最大の技術的強みは、完全な秘密鍵がいかなる瞬間においても単一の場所に存在しないという点です。各参加者の鍵シェアが分離されたまま署名演算に参加するため、攻撃者が一つの参加者を完全に侵害（Compromise）しても、鍵全体を入手することはできません。

• ブロックチェーン層での透明性なし：MPCによって生成された署名は、構造的に通常の単一署名と同一に見えます。マルチシグとは異なり、ブロックチェーン上には「これはマルチパーティ計算によって生成された署名である」という痕跡が残りません。これはプライバシーとガス効率の面で有利ですが、署名ポリシーのオンチェーン監査が不可能というトレードオフをもたらします。

• 運用上の柔軟性：MPCは閾値や参加者の構成をソフトウェアレベルで柔軟に調整できます。署名ポリシーの変更がオンチェーントランザクションなしに可能なため、組織の変化に迅速に対応できます。また、鍵シェアの更新（Key Rotation）が可能であり、定期的にセキュリティを強化できます。

• 機関採用の拡大：Fireblocks、Zengo、Coinbase Primeなど主要な機関カストディプロバイダーがMPCをコア技術として採用しています。マルチシグの運用複雑性を回避しながら同等のセキュリティレベルを達成できることから、機関の資産管理においてますます選好される方式となっています。

• 複雑性と実装リスク：MPCは数学的に複雑であり、実装が不適切な場合に微妙なセキュリティ上の脆弱性が生じる可能性があります。マルチシグが検証済みのオンチェーンロジックに依存するのとは異なり、MPCのセキュリティは具体的な暗号学的プロトコル実装の正確性に大きく依存します。オープンソース監査の不在は、追加の信頼前提を要求することになります。

関連する概念

MPCとマルチシグは、「複数の協力によってセキュリティを強化する」という共通の目標を異なるアプローチで達成します。マルチシグがオンチェーンで透明に強制されるのに対し、MPCはオフチェーンの暗号学に依拠します。実務においては、両技術を組み合わせるケースもあります。たとえば各MPCの鍵シェアをHSM内に保管する構成は、ソフトウェア攻撃と物理的攻撃を同時に防御することが可能です。シードフレーズの概念との関係で見れば、MPCは単一のシードから派生した鍵が単一障害点となるという問題を解決する高度なソリューションとして位置づけられます。

---

HSM（ハードウェア・セキュリティ・モジュール）

定義

HSM（Hardware Security Module、ハードウェア・セキュリティ・モジュール）とは、暗号化（Encryption）、復号化（Decryption）、デジタル署名（Digital Signature）などの暗号演算を、隔離された耐タンパー性ハードウェア環境内で実行するよう設計された、機関グレード（Institutional-grade）の専用ハードウェアデバイスです。HSMは暗号鍵を内部に安全に保管し、外部システムが鍵そのものにアクセスすることを許可せず、必要な暗号演算の結果のみを提供します。これは、コンシューマー向けハードウェアウォレットのセキュアエレメントと概念的には同等ですが、企業・金融機関規模のパフォーマンス、信頼性、認証レベルを備えた設計となっています。

代表的なHSMメーカーとしては、Thales（旧nCipher）、Utimaco、AWS CloudHSM、Azure Dedicated HSMなどがあります。HSMは金融機関、認証局（Certificate Authority）、決済ネットワークなど伝統的な金融インフラにおいて数十年にわたって使用されており、近年では機関レベルの暗号資産カストディソリューションの中核コンポーネントとしての採用が拡大しています。

核心ポイント

• 厳格な認証標準：HSMはFIPS 140-2/140-3 Level 3またはLevel 4といった政府認証標準を満たしています。これらの認証は、物理的な改ざん試行時に自動で鍵を消去するタンパー検知・対応（Tamper Detection and Response）機能、物理的侵入への耐性、環境攻撃（温度・電圧など）への耐性を検証するものです。このような認証は、規制遵守（Regulatory Compliance）が求められる機関において必須となります。

• 物理的・ソフトウェア的攻撃への防御：HSMはサイドチャネル攻撃（Side-Channel Attack）、差分電力解析（Differential Power Analysis）、プロービング攻撃（Probing Attack）など高度なハードウェア攻撃に対する防御メカニズムを備えています。また、HSM内部で実行されるソフトウェア環境は外部のオペレーティングシステムから完全に隔離されており、ホストシステムがマルウェアに感染した場合でも鍵は保護されます。

• 高性能な暗号演算：コンシューマー向けハードウェアウォレットが個人の散発的な署名リクエストに最適化されているのに対し、HSMは毎秒数千件の署名リクエストを処理できる高性能設計となっています。これは多数の顧客資産を管理する取引所、ファンド、カストディサービスプロバイダーにとって不可欠な要件です。

• ロールベースアクセス制御（RBAC）：HSMは細粒度のロールベースアクセス制御をサポートします。特定の鍵にアクセスできるオペレーター、承認者、監査者の権限を分離し、デュアルコントロール（Dual Control）や分割知識（Split Knowledge）の原則を技術的に強制することができます。これは内部共謀（Insider Collusion）リスクを軽減する上で重要です。

• コストと運用上の複雑性：HSMはハードウェアの購入費用、導入、保守、専門人材の運用など相当なコストを伴います。これは機関レベルの資産規模を持つ組織には合理的な投資ですが、個人や小規模プロジェクトには現実的ではありません。クラウドベースのHSMサービス（AWS CloudHSMなど）はこの参入障壁を下げていますが、クラウドプロバイダーへの依存というトレードオフが生じます。

関連する概念

HSMはカストディ技術スタックの最上位に位置し、他のすべての概念と統合されます。機関がマルチシグを採用する場合、各署名鍵の保管にHSMを使用することで最高水準のセキュリティを実現できます。MPCと組み合わせる場合、各鍵シェアをHSM内に保管することで、ソフトウェア的攻撃と物理的攻撃の双方に対する多層防御が可能となります。ハードウェアウォレットとの関係においては、HSMはエンタープライズ環境でハードウェアウォレットが担う役割を、はるかに高いスケーラビリティと監査適合性をもって実行するものと捉えることができます。シードフレーズに相当するマスターキー素材の観点からも、HSMはその最も堅牢な保管媒体として機能します。