Binanceでは複数の2FAを同時に有効化できます。この記事では最も安全な重ね掛けスキームを紹介します。ダウンロード入口：Binance公式サイト、モバイル端末は Binance公式アプリ、iOSでアプリをインストールしていない方は iOSインストール手順 をご覧ください。
一、利用可能な2FAタイプ
| タイプ | 強度 | 利便性 |
|---|---|---|
| ハードウェアキー（YubiKey / Passkey） | ★★★★★ | ★★★★ |
| Authenticator（TOTP） | ★★★★ | ★★★★★ |
| メール認証コード | ★★★ | ★★★★ |
| SMS認証コード | ★★ | ★★★★ |
| バックアップコード | ★★★（使い捨て） | ★★ |
二、推奨される重ね掛けスキーム
ゴールデンコンビネーション
- ログインのメイン：YubiKey（最強）
- YubiKeyが手元にない時：Authenticator
- 特殊な操作：メール認証コード（フィッシング対策コード付き）
- Authenticatorも使えない場合：バックアップコード
- 通知チャネル：SMS（受信のみ、認証には使わない）
各層にバックアップがあり、それぞれ階層を追うごとに攻撃コストが上がっていく構成になっています。
三、最低限の保護スキーム
どうしても最小限に留めたい場合：
- Authenticator ＋ バックアップコード ＋ メールのフィッシング対策コード
これら3つを設定するだけで、95%のユーザーよりも安全になります。
四、シーン別の利用方法
日常のログイン
- 新しいデバイス：YubiKey ＋ メール
- 信頼済みデバイス：免除（30日間免除の設定が可能）
出金
- YubiKey ＋ メール認証コード（常に要求される）
- 高額の場合はSMSが追加される可能性あり（バインドしている場合）
設定の変更
- YubiKey ＋ Authenticator ＋ メール
- メールアドレス・電話番号の変更には72時間のロックが必要
緊急対応（YubiKey紛失時）
- Authenticatorを使用する
- Authenticatorがなければバックアップコードを使用する
- どちらもなければ → カスタマーサポートでリセット
五、設定の手順
順番
- アカウントを登録する
- 直ぐにAuthenticatorをバインド ＋ シードをメモする
- SMSをバインドする（通知用のみ）
- フィッシング対策コードを有効にする
- YubiKeyを2本購入 ＋ バインドする
- バックアップコードを保存する
- 出金ホワイトリストを有効にする
この順番で行えば、アカウントは最初から強力に保護された状態になります。
六、定期的なメンテナンス
毎月
- 30分間ログイン履歴・API・ホワイトリストを監査する
- Authenticatorとバックアップコードをテストする（ログインで実際に使ってみる）
四半期ごと
- パスワードを変更する
- バックアップシードの確認（予備のスマホで認証コードを再生成してみる）
毎年
- 2FAをリセットする（古いシードを削除し、新しくバインドし直す）
- ハードウェアキーのファームウェアを更新する
- 「YubiKey紛失時」の対応プロセスを予行演習する
七、攻撃者の視点
攻撃者の視点からあなたの防御を見てみましょう：
攻防1：パスワードを取得された
攻撃者：パスワードを入手してログインを試みる。 あなた：YubiKey ＋ Authenticatorでブロックする。
攻防2：パスワード ＋ Authenticatorを取得された
攻撃者：フィッシングでパスワードと30秒のコードを盗む。 あなた：YubiKeyは物理デバイスなのでフィッシングでは奪えない。ブロックする。
攻防3：SIMスワップでSMSを取得された
あなた：SMSは単なる通知であり、2FAチャネルではない。ブロックする。
攻防4：メールが突破された
攻撃者：メール認証コードを取得し、パスワードをリセットする。 あなた：それでもYubiKeyの物理的なタッチが要求される。ブロックする。
攻防5：物理的にYubiKeyを奪われた
攻撃者：YubiKeyを物理的に奪い、パスワード入力を強要する。 あなた：これはソーシャルエンジニアリングレベル（物理的脅威）の攻撃であり、最終防衛線は高額資産を保管するコールドウォレットとなる。Binanceのホットウォレットの資産は失われるが、コールドウォレットの資産は守られる。
八、ユーザー体験とのバランス
2FAの層が1つ増えるごとに、1回の操作あたり5〜10秒の手間が増えますが、日常的なコストとしては大きくありません。
しかし、初回設定のコストは高くなります——YubiKeyの購入、シードの設定、バックアップコードの印刷で半日ほどかかるかもしれません。ただ、この半日の手間は一生の利益になります。
FAQ
Q1：特定の2FAを無効にすることはできますか？ 可能です。「アカウントのセキュリティ」から各2FA項目に進み、無効化できます。ただし、最低でも2層は維持することをお勧めします。
Q2：複数の2FAはAPIに影響しますか？ APIには専用のAPIキーを使用します。2FAはAPIの呼び出し自体には直接影響しませんが、APIキーの作成時に2FAの検証が必要です。
Q3：どの2FAが一番安いですか？ Authenticatorは無料です。YubiKeyは約50ドルです。コストパフォーマンスが最も高いのはYubiKeyです。
Q4：「信頼できるデバイスとして30日間記憶する」で2FAを省けますか？ 可能です。ただし、出金や設定の変更時には依然として2FAが求められます。