Binanceアカウントでの一回の出金は、タピオカミルクティー店の1日の売上よりも大きいことがよくあります。2FAを設定せずにオンチェーン操作を行うことは、金庫の鍵をドアの前にぶら下げているのと同じです。しかし、2FAはただ設定すれば終わりというわけではありません。Binanceは4つの方式を提供していますが、セキュリティレベルは桁違いに異なります。まずは Binance公式サイト から「セキュリティ」に入りGoogle Authenticatorを有効にし、次に Binance公式アプリ をダウンロードして認証アプリとバインドすることをお勧めします。公式アプリをインストールしていないiPhoneユーザーは、iOSインストール手順 に従って地域を切り替えてインストールしてください。この記事では4つの2FAを詳しく解説し、どの組み合わせが最も合理的かを説明します。
一、Binanceがサポートする4つの2FA方式
| タイプ | セキュリティレベル | 主なリスク | 推奨用途 |
|---|---|---|---|
| SMS（ショートメッセージ） | 低 | SIMスワップ攻撃 | バックアップのみ |
| メール | 中 | メールアカウントが突破されると陥落 | 他の2FAと併用 |
| Google Authenticator | 高 | デバイス紛失時にシードのバックアップが必要 | 日常のベースライン |
| YubiKeyハードウェアキー | 最高 | 物理的な紛失 | 高額出金の確認 |
SMS 2FAは最も便利に見えますが、攻撃の前ではほぼ無防備です。
二、なぜSMS 2FAだけではいけないのか
SIMスワップ（SIM Swap）攻撃は、ここ数年の暗号資産分野で最も一般的なアカウント盗難の手口です：
- 攻撃者はあなたの氏名、身分証番号、電話番号、住所などのソーシャルエンジニアリング情報（ダークウェブで購入またはOSINTで収集したもの）を集めます。
- 攻撃者は通信事業者のカスタマーサポートに電話し、「スマホを紛失したのでSIMカードを再発行してほしい」と嘘をつきます。
- 通信事業者のサポートが騙されると、攻撃者はあなたの電話番号の新しいSIMカードを手に入れます。
- あなたの古いSIMは無効になり、すべてのSMSが攻撃者のスマホに届くようになります。
- 攻撃者は「パスワードリセット + SMS認証コード」を使ってメールをリセットし、取引所のログインパスワードをリセットし、2FAを迂回します。
SIMスワップがひとたび発生すると、電話番号に依存するすべてのセキュリティメカニズムが瞬時に無効化されます——これがSMS 2FAを唯一の防衛線にしてはいけない理由です。
三、Google Authenticatorは最適なベースライン
Google Authenticatorは、TOTP（時間ベースのワンタイムパスワード）を利用したオフラインの2FAです：
- 電話番号とは無関係であり、SIMスワップの影響を受けません。
- シードキーはスマホのローカルに保存され、どのサーバーにもアップロードされません。
- 30秒ごとに6桁の認証コードを生成します。
バインドの手順は、Binanceの「セキュリティ → Google Authenticator（認証アプリ）を有効にする」で行います：
- App StoreまたはGoogle Play StoreでGoogle Authenticatorをインストールします。
- Authenticatorを使ってBinanceが生成したQRコードをスキャンします。
- 画面に表示された16桁のシードキーを紙、またはオフラインのパスワードマネージャーに手書きでメモします（この手順は絶対に飛ばさないでください）。
- Authenticatorに表示される6桁の認証コードを入力してバインドを完了します。
メモしたシードキーの紙は少なくとも2部作成し、それぞれ別の場所（自宅と会社、または別々の本に挟むなど）に保管してください。スマホを買い替える際、このシードキーを使えば、新しいスマホのAuthenticatorで同じ6桁のコードを復元できます。
四、いつハードウェアキー（YubiKey）を導入すべきか
YubiKeyなどのハードウェアキー（U2F/FIDO2）のセキュリティレベルは、Google Authenticatorよりもさらに一段階高くなります：
- 独立した物理デバイスであり、ログイン時にUSBを挿すかNFCをタッチすることで認証を完了します。
- 秘密鍵はデバイス自体から決して離れず、自分自身でさえ読み取ることはできません。
- フィッシングサイトがあなたのパスワードを手に入れても迂回できません——U2Fプロトコルがドメインを検証するためです。
Binanceは、2FAおよび「出金確認」の二段階認証手段としてYubiKeyをサポートしています。資金が5万ドル相当を超えるユーザーには、導入を強くお勧めします。一般的な構成は以下の通りです：
- メインキー：1本のYubiKey 5C / 5 NFC。普段は持ち歩くか金庫に保管します。
- バックアップキー：2本目のYubiKey。自宅の決まった場所に保管し、メインキーを紛失した際に使用します。
コストは1本数千円程度であり、アカウントの資金に比べればほぼ無料のようなものです。
五、推奨される2FAの組み合わせ（資金規模別）
1万ドル相当未満
- ログイン2FA：Google Authenticator
- メール2FA：有効にする
- SMS：アカウントがロックされた際の復旧用バックアップとしてのみ使用し、日常の認証には参加させない
1万〜10万ドル相当
- 上記のすべて
- 出金ホワイトリスト：有効にし、新規アドレス追加時の24時間遅延を設定する
- ログインのメイン2FAとしてYubiKeyを1本導入することを検討する
10万ドル相当以上
- ダブルYubiKey（メイン＋バックアップ）をログインおよび出金2FAとして使用する
- Google Authenticatorは緊急用のバックアップとしてのみ使用する
- コールドウォレットでの保有をメインとし、取引所には取引に必要な金額だけを置く
六、最もよくある3つの誤解
- 「Google Authenticatorを設定したから、SMSは無効にしよう」——無効にしないでください。SMSはアカウントロック時の復旧用に残しておきますが、出金の唯一の確認手段にはしないでください。
- 「シードキーはクラウドのアルバムに保存すればいい」——iCloudやGoogle Photosがひとたび流出すれば、2FAを設定していないのと同じになります。手書きのメモやオフラインのKeePassだけが安全です。
- 「ハードウェアキーは高すぎて割に合わない」——一度盗難に遭った際の損失は、通常ハードウェアキーのコストの1000倍以上になります。
まとめ
- SMSはあくまでバックアップであり、絶対にメインの2FAにしないでください。
- Google Authenticatorはベースラインであり、すべての人が設定すべきです。
- 高額アカウントにはYubiKeyを導入し、メインとバックアップの2本を用意して、出金確認はハードウェアで行います。
- どの2FAも設定後は直ちにシードやハードウェアをバックアップしてください。そうしないとデバイス変更時に「自分自身を締め出す」ことになります。
正しい2FAを選び、バックアップをしっかりと行うことで、Binanceアカウントはリモート攻撃の90%をドアの外でブロックできるようになります。