Coldcard の後、私たちは自己カストディをどう理解すべきか

Coldcard事件を受けて、再び問いかけが浮上している。ハードウェアウォレットにも不具合があり、鍵が生成される瞬間から隐患を抱える可能性があるなら、なぜ私たちは自ら資産を管理するのか。

私たちの判断は、セルフカストディ（自己管理）は依然として重要だということだ。これはユーザーがオンチェーン操作の最終的な承認権を掌握し、プラットフォームやサービスの停止時にも独立した移行の可能性を保持することを可能にする。Coldcardはこの価値を変えたわけではないが、「いかに安全に管理権を保持するか」を再考させるきっかけとなった。

セキュリティは単一のラベルだけで判断できない

Coldcard公式発表とBlockの技術分析によると、ファームウェアの統合エラーにより、一部のデバイスで期待通りにハードウェア乱数が使用されず、予測可能なソフトウェア乱数生成パスにフォールバックしていた。外見上は正常なニーモニック（回復フレーズ）も、鍵生成段階で必要なセキュリティレベルに達していなかった可能性がある。

公開された事例の多くでは、ユーザーはフィッシングリンクをクリックしておらず、ニーモニックを漏らしてもいなかった。ただ製品のデフォルトフローに従ってウォレットを作成しただけだ。問題は鍵生成の源流で発生しており、その後にどれだけ慎重に保管しても、この欠陥を補うことはできない。

今回の事件は、ある一般的な認知の近道を打ち破った。ハードウェア、オフライン、オープンソースのいずれもセキュリティを向上させるが、どの単一のラベルも単独でセキュリティの結論にはなり得ない。一般ユーザーがファームウェアを一行ずつ監査することも不可能だ。デフォルトのパスを信頼できるものにすることこそ、セキュリティ製品が負うべき責任である。

事件後、OKXはプラットフォームへの大量の資金流入を報告した。CZはその後、過去のデータを引用し、「統計的に見て、取引所に資産を預ける方がセルフカストディよりも安全だ」と述べた。この発言が共感を呼ぶのは不思議ではない。

成熟したカストディ機関はより多くのリソースを投入し、専門的なセキュリティ体制と復旧システムを構築できる。鍵管理の経験が乏しい人にとっては、機関がこの部分を引き受けることで、個人が鍵を単独管理する難易度やリスクを実際に軽減できる可能性がある。これを認めることはセルフカストディの価値を弱めるものではなく、むしろ議論をユーザーの実態に即したものにする。

しかし、過去の損失に関する数字だけで今日の結論を導き出すのは難しい。CZが引用したRiverリサーチも、初期のBTCの永久喪失データは正確な帰属が難しく、その大部分が2020年以前に発生していることを示している。取引所の損失も完全には集計できず、補償額の一部も控除されていない。さらに、これらの累計数字は資産規模や保有期間で調整されていない。両方の方法で大きな損失が発生してきたことを示してはいるが、今日の実際のリスクを測定するには十分ではない。

より重要なのは、こうした比較は通常「資産が失われたかどうか」だけを集計し、「必要な時に引き出せるか」「プラットフォームが問題を起こした時に離脱できるか」にはほとんど答えていないことだ。カストディは個人の鍵管理の負担を軽減できるが、ユーザーを機関の継続的な運営、償還義務の履行、アカウントへのアクセス提供への依存に依存させることにもなる。

セルフカストディが保持するのは、もう一つの道

セルフカストディは本質的に、管理権の取り決めである。一般的なセルフカストディアカウントでは、ユーザーが秘密鍵または署名完了に必要な重要な条件を保持し、ウォレット開発者や他のサービス提供者は一方的に有効な承認を行うことができない。

ユーザーが有効な鍵またはバックアップを保持している限り、元のウォレットがサービスを停止しても、通常は互換性のあるツールを通じてアカウントを復元できる。また、資産を移転したりオンチェーンアプリを利用したりする際に、プラットフォームの出金開放を待つ必要もない。

この独立した経路こそが、セルフカストディの最も重要な価値である。

もちろん、これには限界もある。ネットワークやコントラクトのルールは、依然として資産の利用に影響を与える可能性がある。セルフカストディが保持するのは、オンチェーン操作の最終承認が単一の機関に完全に依存する必要がないということであり、すべての外部条件に対する絶対的なコントロールではない。

この価値は、プラットフォームが正常に稼働している間は明確には見えない。これはバックアップに似ている。日常の操作を速くはしないが、元の経路が機能しなくなった時に、ユーザーに選択肢が残されているかどうかを決定する。

それゆえ、カストディとセルフカストディには、すべての人に当てはまる単一の答えは存在しない。現時点で鍵を安全に管理する能力がない人にとっては、慎重に評価されたカストディサービスを選択することは合理的である。単一の機関への依存を減らしたい人にとっては、独立して復旧・移行できる経路を構築することも同様に重要だ。重要なのはどちらかの側に立つことではなく、自分がどのリスクを委ね、どの能力を残すのかを明確にすることである。

管理権はユーザー一人の負担であるべきではない

ユーザーが秘密鍵を管理することは、製品側のセキュリティ責任が軽減されることを意味しない。一般ユーザーは、鍵生成からファームウェア構築に至るデバイスの全プロセスを検証することはできない。製品は重要な経路を検証し、異常をタイムリーに露呈させ、問題発生後には透明性をもって対応する必要がある。セキュリティは信頼できるデフォルト設計に由来すべきであり、ユーザーが潜在的な技術リスクを発見することに依存すべきではない。

ユーザーもまた、バックアップが実際に復元可能であることを確認し、署名前に何を承認しているのかを理解し、主要なツールが機能しなくなった場合の移行方法を事前に把握する必要がある。しかし、これらの能力は段階的に構築できるものだ。セルフカストディは、すべての人に即座に全資産の移転を要求する資格試験であるべきではなく、また全員が暗号学の専門家になることを要求すべきものでもない。

imTokenにとって、セルフカストディを支援するということは、この選択肢をより信頼できるものにすることから始まる。ユーザーは自分が承認している内容を理解でき、復旧方法を知り、必要な時には互換性のあるツールへの移行が可能であるべきだ。それによってのみ、管理権は単なるスローガンではなくなる。

Coldcard事件はセルフカストディを無意味にしたのではなく、むしろセキュリティ責任をより具体的にした。次の段階で解決すべき課題は、ユーザーの管理権を保持しながら、セキュリティ、復旧、ユーザー体験をより信頼できるものにする方法である。

ユーザーはカストディを選択でき、必要に応じてカストディから離脱することもできる。管理権を掌握しつつ、すべての複雑さを一人で背負う必要はない。これこそが、Coldcard以降、私たちがセルフカストディを再考する意義である。