BIP39パスフレーズは、通常のシードフレーズに追加する文字列で、異なるウォレットを生成できる仕組みです。秘密鍵の生成構造、PINとの違い、復元時の注意点を解説。長期保有や法人管理で導入する際に必要なバックアップ設計と、パスフレーズ紛失による資産アクセス不能のリスクを整理します。
ハードウェアウォレットの安全性を高める方法として、BIP39パスフレーズがある。通常の12語・24語のシードフレーズに追加の文字列を組み合わせ、別のウォレットを生成する仕組みだ。
ただし、設定すれば安全性が自動的に高まるわけではない。パスフレーズを忘れると、シードフレーズが残っていても目的のウォレットを復元できなくなる。
シードフレーズから秘密鍵が生成される仕組み
BIP39では、ニーモニックと任意のパスフレーズをPBKDF2-HMAC-SHA512で処理し、512ビットのシードを生成する。反復回数は2048回で、このシードからBIP32などの方式で秘密鍵が導出される。
重要なのは、**同じシードフレーズでもパスフレーズが異なれば、生成されるウォレットも変わる**点だ。パスフレーズなしの場合も、空文字列を使用した別の組み合わせとして処理される。
PINコードとは役割が異なる
PINは主に端末の不正操作を防ぐ認証手段だ。一方、BIP39パスフレーズは鍵の導出結果そのものを変更する。
端末を初期化しても、正しいシードフレーズとパスフレーズがあれば、対応するウォレットで復元できる。ただし、復元先の機種が同じ導出方式に対応している必要がある。
長期保有では二重のバックアップ管理が必要
パスフレーズを利用する場合、シードフレーズとパスフレーズは別々の安全な場所に保管する方法が考えられる。ただし、分離保管は紛失リスクも増やす。
法人では、担当者の退職や死亡によって復元不能にならないよう、アクセス権限と復旧手順を文書化する必要がある。
導入前には少額資産で復元テストを行い、正しいアドレスが再現されることを確認したい。シードフレーズやパスフレーズをWebサイトへ入力してはならない。フィッシングや誤署名への対策も別途必要であり、鍵の保護だけで資産管理が完結するわけではない。