ハードウェアWalletのTrezorを購入してテストしてみたので、そのレポートである。
結論からいうと、現在、このウォレット以上に安全で、利便性の高いものはない。小遣い以上のビットコインを持っているひとは、すべからく購入するのがよいと思う。
多くの人がビットコインを、blockchain.infoのウォレットに入れていると思う。これは極めて、危険だ。秘密鍵をblockchain.infoが管理しているから、blockchain.infoがハックされたらあなたのコインも盗まれてしまう。しかも、保険などもなく、盗まれたら帰ってこないだろう。ビットコイナーの中には、Mt.Gox事件の教訓から学ばず、今でも、取引所にそのままおいている人もいる。極めて危険だ。
かといって、PCのウォレットも安全ではない。PCはウイルスまみれであるし、どのようなソフトウェアが走っているかわからない。秘密鍵のファイルを悪意あるソフトウェアから守る手段がない。
モバイルのウォレットのほとんども危険だ。秘密鍵をストアしているメモリの領域に他のアプリケーションがアクセス出来てしまう。秘密鍵スキャンして探し、他人に送信するウイルスが入りこんでいたら、ひとたまりもない。
現時点で、唯一確実に安全なのは、ペーパーウォレットだ。ただし、ペーパーウォレットは、それを作るときに、ネットに接続されたウイルスまみれのPCをつかっては意味が無い。クリーンなPCとOSを用意するひつようがあり、めんどうだ。それに、一旦ペーパーウォレットに入金すると、使おうと思うとめんどくさい。一部だけを使うということが柔軟にできない。
その欠点をクリアしたのが、Trezor のハードウェアウォレットだ。秘密鍵を完全に安全に守りながら、普通のウォレットのように入出金が簡単にできる。
Trezorの特徴は、秘密鍵を特殊なチップに内蔵していることだ。（耐タンパー性がある）
この特殊なチップは秘密鍵を保管し、またそれをつかって電子署名するということに特化している。それしかできない専用チップで、ハードウェアなので、ウイルスからも安全だ。
ビットコインの送金をするとき、そのトランザクションの署名は、このチップ内で行う。署名をリクエストしたときに、このチップが署名し、署名の結果だけを返す。わかると思うが、その署名から、秘密鍵を逆算はできないから、秘密鍵が外にもれることはない。
チップは、署名するか否かという以外の命令を受け付けないので、接続したPCにウイルスがあっても、、秘密鍵を盗むということはできない。あくまで、Trezorに接続したPCができることは、チップに「署名しろ」という命令をだすことと、署名した結果を受け取ることだ。
また、もし、PCが勝手に署名の命令を出しても、Trezor側の確認ボタンを押さないと、署名されないので、さらに安全である。
こうした仕組みにより、PCと接続して使うにもかかわらず、秘密鍵が漏洩する可能性がない。
では、Trezorのチップ自体がこわれたり、紛失してしまったらどうなるか？ビットコインを失うのだろうか？
TrezorはBIP32の階層性ウォレットをつかっている。全てのアドレスが、、２４ワードのリカバリーパスフレーズをメモっておきさえすれば再現できる。ハードをなくしても、この２４ワードのパスフレーズさえあれば、別のTrezorを買ってきて、そこに再インストールできるし、もしくは、ElectrumやMyceriumなどの、BIP32をサポートしているウォレットがあれば、そこに２４ワードを入力することでも、ビットコインを取り出せる。
Trezorで感心したのは、パスフレーズを再入力するときの方法だ。パスフレーズはすなわち秘密鍵そのものなので、結局この部分が弱いと、ほかのセキュリティが高くても意味が無い。
単に、PCから、そのままパスフレーズを入力してしまうと、PCにキーロガーなどが入っていた場合には、容易に盗まれてしまうことになる。
Trezorではそれを防止するため、２４ワードの順番をTrezor側が指定する。たとえば、キーの１２番めをいれろ、次は９番目をいれろといった具合に、順番をランダムに指定する。
こうすることで、２４ワードが全部キーロガーでぬすまれても、盗んだ人は、その順番を推測する必要がある。
さらに、Trezorではダミーのワードを間に挟む。本来のパスフレーズにの単語ではないものも、てきとうなタイミングで入力する必要がある。
だから、すべてがキーロガーでぬすまれたとしても、正しいパスフレーズを再現するためには、ダミーもふくめて、３６ワードのなかから、２４ワードを選択し、それを正しい順番で並べる必要がある。
この組み合わせは膨大であり、たとえ世界中のビットコインマイナーのハッシュパワーをつかっても１００年以上は掛かるという。
Trezorで一番気に入った部分は、このパスフレーズの回復の部分のセキュアさである。この仕組は、非常に信頼性がある。
他にも、ウォレット内で、アカウントが複数作れたり、HDウォレットなので、当然アドレスを使いまわすことなく、取引ごとに新しいアドレスを生成して、取引するため、安全かつ、プライバシーも保たれる。
セキュリティ、使い勝手、そうほうで満足のいくプロダクトだ。
参考までに、わたしの場合の使いわけを書いておく。本当に使わないビットコインは特殊なペーパーウォレットで保管している。これは５年間は動かさないつもりのコインだ。
Trezorは、準コールドウォレットで、それなりの量を保管するが、うけとったり、使ったりすることがある時につかう。
現在、CryptoSteel というバックアップデバイスが出現したので、ペーパーウォレットは廃止し、ビットコインの管理はTrezorに一本化した。
日常的なものは、モバイルウォレットにTrezorから移して使う。モバイルウォレットには、紛失しても構わないように、1btc以下のお金だけを入れるようにしている。
購入はこちらのサイトからビットコインですぐ出来る。Fedexなどで１週間もあれば届く。
なお、国内でもコインギフトで販売している。日本円ほか、ビットコインなどで購入でき、送料は無料だ。コインギフトで買うと、詳細な日本語マニュアルが付属するのが魅力である。
