ZachXBT氏が、暗号資産の保管には古いiPhoneがあらゆるハードウェアウォレットより優れていると指摘した。Tornado Cash開発者のローマン・ストーム氏も同意するが、1つ不足している機能がiPhoneウォレット構想を根本から崩しているという。
その機能とはBIP39パスフレーズである。シークレットな追加単語で、自分の本当のウォレットを空のウォレットの裏に隠す仕組み。
iPhoneウォレット計画が欠く唯一の機能
オンチェーン調査者のいら立ちには裏付けがある。Bybitは2025年2月に15億ドルを喪失した。攻撃者が署名者をだまして不正なトランザクションを承認させた結果だ。鍵自体は安全だった。資金は今も取り戻せていない。
「すべてのハードウェアウォレットは完全なゴミであり、トランザクション署名や資金保管のような重要な用途では使うべきでない。専用のiPhoneをハードウェアウォレットとして使うのがはるかに良い」とZachXBT氏が指摘している。
ストーム氏もこの提案には賛意を示した。しかし、同氏は注意喚起も加えている。
「同意する――もしBIP39パスフレーズをサポートするモバイルアプリが実際に存在するならば」
なぜそれが重要か。シードフレーズは通常12単語または24単語で、紙に書く。しかし、パスフレーズを追加すると、その同じ単語から全く別のウォレットを開くことができる。
したがって、紙を発見した盗難者は空のアカウントしか確認できない。英国の保有者はTrezorリカバリーフレーズが自宅の防犯カメラに映り、約1億7200万ドルを失った。パスフレーズがあれば、その記録は役に立たなかった。
リスクは拡大している。Chainalysisは2025年に個人ウォレット侵害を15万8000件記録した。これは2022年の約3倍だ。被害者は8万人、損失は7億1300万ドル。そして、あるシードフレーズの脆弱性だけで今月310万ドルが流出した。
ハードウェアウォレットには存在、モバイルウォレットにはない
ストーム氏が状況を整理した。Trezor、Ledger、Coldcard、Keystone、BitBoxはすべてパスフレーズをサポートしている。MetaMaskは2021年から要望に対応していない。Trust Walletも不採用。Rabbyはデスクトップのみ提供、モバイルではAirGap Vaultだけが対応している。
解決策は明快だ。モバイルウォレットにもパスフレーズ対応とエアギャップ署名を持たせるべきだ。電話がネット接続しない設計であれば良い。Trail of Bitsの調査も、鍵が流出した際の損失抑制という同じ原則を支持している。
ただし、デメリットもある。Casa共同創業者のジェイムソン・ロップ氏はインタビューで、多くの人がパスフレーズを紛失し、資産に永遠にアクセスできなくなっていると警告した。
脅威は盗難だけではない。香港はすでに旅行者に端末やウォレットのロック解除を要求できる。
Trezorが「スマホ金庫」案に反論
Trezorはこの考えに譲歩しない。ストーム氏同様、同社最高商業責任者のダニー・サンダース氏はZachXBT氏の調査力に賛辞を送りつつも、iPhone活用案を否定した。
サンダース氏は、スマートフォンは汎用端末でありリスクが多すぎると主張する。ゼロクリック型の脆弱性についても実例があると指摘した。
ハードウェアウォレットは独立したセカンドスクリーンとしても機能する。スマホが侵害されれば、確認と署名の間に隔たりがなくなると述べた。
また、スマートフォン上でシードフレーズを生成すればiCloudのバックアップ流出やクリップボード漏洩のリスクもあると強調した。さらにバッテリー問題もある。長期間保管したiPhoneは劣化する。復活にはAppleの認証サーバーとApple IDが必要となる。
ストーム氏はTornado Cash事件の再審を待つ立場だが、対応すべきはウォレット提供企業だと強調した。MetaMaskやTrust Walletがこの機能を追加すれば、数百万台の古いスマートフォンが本物の暗号資産金庫となる可能性を示唆した。
