Binance アカウントを保護する方法: 完全なセキュリティ ガイド

二要素認証の実装

1. Binance は、すべてのログイン セッションで Google Authenticator や Authy などの認証アプリを介した時間ベースのワンタイム パスワード (TOTP) の使用を義務付けています。

2. SMS ベースの 2FA は利用可能ですが、SIM スワップの脆弱性があるため推奨されません。価値の高いアカウントではこれを避けることを強くお勧めします。

3. 2FA セットアップ中に生成されたリカバリ コードはオフラインで保存する必要があり (クラウド メモや電子メールには決して保存しないでください)、秘密キーと同じ機密性で扱う必要があります。

4. デバイス バインディングにより、登録された各デバイスが独自の一意の認証コンテキストを維持することが保証されます。デバイスを削除すると、関連付けられている TOTP トークンが即座に無効になります。

5. Binance は、Web インターフェイスでは 30 分間、モバイル アプリでは 15 分間非アクティブ状態が続くとセッション タイムアウトを強制し、パスワードと TOTP の両方による再認証を要求します。

出金セキュリティプロトコル

1. 引き出しアドレスのホワイトリストにより、資金移動は電子メールと SMS 確認で確認された事前承認されたアドレスのみに制限されます。

2. ホワイトリストに登録された各アドレスは、最初に使用する前に 24 時間のアクティベーション遅延を必要とし、アカウント侵害後の即時悪用を防ぎます。

3. 引き出し制限は、静的なしきい値ではなく、アカウント検証レベル、KYC ステータス、および過去の引き出しパターンに基づいて動的に拡張されます。

4. 引き出し額が日当量の 95% を超えた場合、または行動ベースラインから大きく逸脱した場合、手動レビューが自動的にトリガーされます。

5. すべての出金リクエストは、IP 地理位置情報、デバイスの指紋、タイムスタンプなど、アカウント アクティビティ フィードに表示される不変のオンチェーン ログを生成します。

APIキー管理基準

1. API キーは作成時に厳密に権限を継承します。完全なキーの取り消しと再作成がなければ、遡って権限をアップグレードすることはできません。

2. IP バインディングは、API アクセスを特定の IPv4/IPv6 範囲に制限します。リストにない IP からのリクエストは、ペイロードの開示がゼロの HTTP 403 を返します。

3. 取引専用キーでは引き出しを開始したり、セキュリティ設定を変更したりすることはできません。職務の分離はプロトコル層で強制されます。

4. Binance の公式デスクトップ アプリ経由で作成されたキーには、ブラウザベースの生成では利用できないハードウェア強制エントロピー ソースが含まれています。

5. 非アクティブ状態が 90 日間続いた場合、または 1 分あたり 120 リクエストを超える異常な通話頻度が検出された場合、自動非アクティブ化が行われます。

ウォレットインフラストラクチャの安全対策

1. ユーザー資産の 98% 以上が、インターネットに接続されたインフラストラクチャから常に切り離された、エアギャップされたコールド ウォレットに存在します。

2. ホットウォレットの残高はプラットフォームの総準備金の 2% に制限されており、7 秒ごとにリアルタイムの残高調整が行われます。

3. マルチ署名署名定足数では、地理的に分散したデータ センターに少なくとも 3 人の承認された署名者が物理的に存在する必要があります。

4. コールド ウォレット トランザクションの署名は、改ざん防止エンクロージャを備えた FIPS 140-2 レベル 3 認定の HSM モジュール内で行われます。

5. リザーブプルーフ監査では、オンチェーン証明書を備えたイーサリアムメインネットで公開されているマークルツリープルーフを使用して、資産裏付け率を毎月検証します。

フィッシングおよびソーシャルエンジニアリング対策

1. Binance ドメインは、拡張検証証明書を備えた HTTPS を排他的に使用します。ブラウザでは、検証済みドメインのアドレス バーに緑色の組織名が表示されます。

2. 公式サポートは、迷惑メール、SMS、またはソーシャル メディア DM による連絡を開始することはありません。そのようなメッセージは、積極的なフィッシング行為を構成します。

3. 認証情報の送信前に、クライアント側でドメイン検証チェックが行われます。タイポスクワッティング ドメインは、即座にブラウザ警告をトリガーします。

4. Binance からの電子メールヘッダーには、DNS TXT レコードで公開された公開キーに対して検証可能な DKIM 署名が含まれています。

5. すべてのサポート チケットでは、エージェントがアカウント データにアクセスする前に、生体認証による生存チェックを含む 2 段階の本人確認が必須となります。

よくある質問

Q: 2FA デバイスと回復コードの両方を紛失した場合、アカウントを回復できますか?アカウントの回復には、公証された身分証明書、元の登録 IP の証明、および過去の入金パターンの証拠の提出が必要です。自動回復パスは存在しません。

Q: Binance は API 秘密キーを平文で保存しますか?いいえ。API シークレットは、保存前に 12 ラウンドで bcrypt による不可逆的な暗号化ハッシュを受けます。生のシークレットはキー生成直後に破棄されます。

Q: 引き出しホワイトリストは SIM スワップ攻撃に対して有効ですか?はい。ホワイトリストのアクティブ化には、電子メールと SMS のデュアル チャネル確認が必要であり、どちらかのチャネルをバイパスするとプロセス全体が無効になります。

Q: Binance はコールドウォレットのマスターキーをどれくらいの頻度でローテーションしますか?コールド ウォレットのマスター キーは、耐量子格子ベースの暗号化を使用して 90 日ごとにローテーションされ、ローテーション ログは公開検証のためにオンチェーンで公開されます。