「セキュリティの劇場」からの脱却：ウォレットのセキュリティは検証可能性の時代へ

Source: OKX

2025年までに、Web3は「より大規模で高頻度な利用」という新しい段階に入り、ウォレットは「コイン保管ツール」からチェーンへの入り口およびトランザクションのオペレーティングシステムへと進化を加速させます。市場調査会社Fortune Business Insightsは、仮想通貨ウォレット市場が2025年には約122億ドルに達し、2034年までに985.7億ドルまで成長する可能性があると予測しています。

ユーザー側の拡大も明らかです。a16z cryptoは「State of Crypto 2025」の中で、アクティブな仮想通貨ユーザーは約4,000万〜7,000万人であり、「資産は保有しているがオンチェーンでは必ずしもアクティブではない」仮想通貨資産保有者が約7億1,600万人いると推定しています。Crypto.com Researchのレポートでも、世界の仮想通貨保有者は2025年前半の6億8,100万人から7億800万人に増加したと述べています。

規模と普及率の拡大の裏側では、セキュリティリスクも同時に増幅しています。もはや「スマートコントラクトに脆弱性があるか」という問題だけでなく、リンクのクリック、ウォレットの接続、署名の承認、トランザクションの処理といった、ユーザーの重要な接点でのリスクをいかに遮断するかが問われています。

オンチェーンの世界では、「攻撃対象領域」はスマートコントラクトの脆弱性を超え、フィッシング、偽ドメイン、カスタマーサービスのなりすまし、承認詐欺といった「トランザクション前のリスク」がより一般的です。例えば、Chainalysisは「クリプトドレイナー（ウォレット空にするツール）」を、アカウントパスワードを盗むのではなく、ユーザーを騙してウォレットを接続させ、悪意のあるトランザクション承認を承認させることで資産を直接流出させるツールと定義しています。公開データによると、2024年の「ウォレットドレイナー」に関連する損失は5億ドル近くに達しました。

したがって、Web3ウォレットのセキュリティ強化は、スマートコントラクトの脆弱性だけでなく、ユーザーの行動の重要なポイントでリスクを能動的に遮断する「トランザクション前のセキュリティ」にさらなる注意を払う必要があります。

このような業界の背景において、「セキュリティ」は単なるスローガンで対応することがますます困難になっており、検証可能か、追跡可能か、タイムリーに開示できるかといった、継続的な検証が必要なガバナンス能力として、ユーザーがウォレットを選ぶ際の重要な基準となっています。

「セキュリティの主張」から「理解可能なセキュリティ能力リスト」へ

長らくの間、ウォレットプロジェクトがセキュリティについて議論する際、「監査を受けている」「ホワイトペーパーがある」「リスク管理に重点を置いている」といった決まり文句が使われてきました。しかし、詐欺やフィッシングの産業化に伴い、この「セキュリティの主張」は説得力を失いつつあります。ユーザーが実際に問題に直面する瞬間は、リンクのクリックやウォレット接続、署名承認といった非常に短いやり取りの中で発生します。Chainalysisが説明する「クリプトドレイナー」は典型的な経路であり、攻撃者は正規のページになりすましてユーザーを誘導し、資産を転送させます。

公開データも業界のナラティブを「理解可能性」へと向かわせています。Security WeekはScam Snifferの統計を引用し、2024年にはウォレットドレイナーによって約5億ドルの損失が発生し、33万2,000人以上の被害者が出たと報じました。これらのイベントは、攻撃者が複雑なシステムを突破する必要はなく、ユーザーがやり取りの最中にリスクを理解していないことに依存しています。一方で、Chainalysisは2025年の開示で、2024年のオンチェーン詐欺収益は少なくとも99億ドルであり、特定されるアドレスが増えるにつれて増加する可能性があると推定しました。主なリスクが「ユーザー側の読み取りギャップ」から生じる場合、ウォレットメーカーはセキュリティをバックエンドエンジニアリングからフロントエンドの表現へとシフトさせる必要があります。

その結果、業界の多くのウォレットがセキュリティ能力を「製品化」し始めています。単に「私たちは安全です」と言うのではなく、どのトークンがハイリスクとしてフラグ付けされるか、どのトランザクションがアラートをトリガーするか、どの住所やDAppsがブロックされるかなど、ユーザーが理解できるリストに分解しています。この変化の本質は、セキュリティを「資格のナラティブ」から「インタラクションのナラティブ」へと変革することです。

このトレンドに従い、新しくアップグレードされたOKXウォレットのセキュリティセンターページは、「リスト形式での表現」の典型的な例を提供しています。ページでは、トークンのリスク検出、トランザクション監視、アドレススクリーニングという3つの「最前線の防御」を明確に概説し、それぞれの機能を「ハニーポットや悪意のあるアクターへの露出を減らすためにハイリスクなトークンをフラグ付けする」といった一文で説明しています。このアプローチの利点は、ユーザーがセキュリティ用語を理解していなくても、クリック、署名、転送といった現在行っている行動とすぐに結びつけられることです。

クリックして訪問：OKXウォレットセキュリティランディングページ監査レポート

さらに重要なことに、「理解可能性」は「独り言」を意味するわけではありません。同じページで、OKXウォレットは「監査レポートを表示」リンクを提供し、「能力リスト」と「第三者検証」を接続しています。さらに、ヘルプセンターの監査レポート収集ページでは、監査範囲、発見された問題数、修復状況を詳しく説明しており、ユーザーは「能力の理解」から「証拠の検証」へと必要に応じて移行できます。

このような「セキュリティの主張」から「理解可能なチェックリスト」への移行は、セキュリティをより壮大に聞こえさせるためではなく、より実行可能なものにするためです。詐欺がますます欺瞞や変装に依存する中、ウォレットがインタラクションポイントでリスクアラートを配置し、「どこが危険で、なぜ危険で、何をすべきか」をユーザーフレンドリーな言語で説明できるかどうかが、セキュリティ能力の一部となり、ユーザーが重要なステップでつまずくかどうかを決定づけるようになっています。

監査情報の「公開検証可能」化：第三者による裏付けを「リンク」から「検証可能な証拠チェーン」へ

ウォレット業界では、監査は長い間実用的な問題を抱えてきました。多くのプロジェクトが確かに「監査を受けている」ものの、情報は発表、PDF、SNSの再投稿に散らばっており、一般ユーザーが「誰が監査し、何を監査し、問題は修正されたか、いつ最後に更新されたか」を素早く理解することが困難でした。今回、OKXウォレットによるより顕著なアクションは、公開されている第三者監査レポートを統一されたポータルに統合し、ページ上で「2022年11月11日に公開、2025年11月17日に更新」と直接示すことで、これが一度限りのショーケースではなく、積極的に維持されている継続的な情報開示窓口であることをユーザーが一目で判断できるようにしたことです。

この収集ページに公開されているエントリから、開示範囲は「スマートコントラクト」という従来の監査対象に限定されていません。2024年5月23日付のCertiKのエントリを例にとると、監査内容はモバイルおよびフロントエンドの重要なコードパスを明確にカバーしています。iOS/Androidコンポーネント、フロントエンドのReactJS UIコンポーネント、キーリングとやり取りするJSコントローラー、複数のウォレットSDKモジュールが含まれており、監査方法と結論基準も提供されています。

同じページで、SlowMistのエントリは、過去2年間のウォレット進化の「新しいパラダイム」に近いです。AAスマートコントラクトアカウント、MPCキーレスウォレット、Ordinalsトランザクションモジュールなどの監査可能なオブジェクトがすべてリストされています。さらに、秘密鍵セキュリティモジュールに関する監査情報も個別に提示されており、「秘密鍵やニーモニックフレーズはユーザーのデバイスにのみ保存され、外部サーバーには送信されない」と直接述べ、鍵のセキュリティに関するユーザーの核心的な懸念に、より明確な境界記述で対応しています。

この「集中表示」の価値は、より包括的な情報を持つことだけでなく、さらに重要なことに、「新しい能力」と「検証可能性」を同じエントリポイントで結びつけることにあります。ウォレット業界がAAやMPCのような複雑なアーキテクチャへとますます移行する中、ユーザーが最も必要としているのは「私たちは非常に安全です」という声明ではなく、監査範囲が重要なモジュールをカバーしているか、方法論は何か、リスクが軽減されているか、情報が継続的に更新されているかといった、素早く検証できる証拠です。

さらに、OKXウォレットによると、このアップグレード後、新しい監査レポートや関連情報は、新しいリリースを必要とせずに設定を通じて直接更新できます。このメカニズムが長期的に安定して運用できれば、開発とリリースのコストを節約するだけでなく、「外部から検証可能」な経路を効果的に短縮します。

ユーザーにとって、これは監査が追加または完了した際に、公開入り口が「最新の状態」をより迅速に反映できることを意味し、重要なリスクウィンドウの間に「スクリーンショットや古いリンクの転送に頼らなければならない」という不確実性を軽減します。第三者のオブザーバーや研究者にとっては、どのモジュールがいつ監査を完了し、どのレベルの問題が発見され、いつ修正が確認され、公開更新されたかという追跡可能なタイムラインを形成しやすくなります。これにより、「第三者による裏付け」は、PDFの一時的な表示ではなく、継続的に監査可能な証拠チェーンへと変わります。

この記事は寄稿であり、BlockBeatsの見解を代表するものではありません。