Bybit の 2 要素認証はどの程度安全ですか?

Bybit の 2 要素認証メカニズム

1. Bybit は、主要な 2FA 方式として Google Authenticator ベースの時間ベースのワンタイム パスワード (TOTP) を実装し、30 秒ごとに更新される 6 桁のコードを生成します。

2. TOTP セットアップでは、ユーザーは初期構成時に固有の QR コードをスキャンするか、認証アプリに秘密キーを手動で入力する必要があります。

3. すべてのログイン試行、出金要求、および重要なアカウント変更には、現在有効な TOTP コードによる検証が必須です。

4. Bybit は、初期設定後に秘密キーをサーバーに保存しません。これはユーザーのデバイスと認証アプリケーション内にのみ存在します。

5. 回復オプションは意図的に制限されています。失われた 2FA アクセスに対する一元的な回復パスは存在しないため、ユーザーはセットアップ中にバックアップ コードを保存する必要があります。

2FA 施行をサポートするセキュリティ層

1. リンクされた電子メールまたは電話番号が変更されるとログイン セッションが自動的に無効になり、新たな 2FA 入力を含む完全な再認証が必要になります。

2. 引き出しホワイトリストは独立して動作しますが、アドレスを追加または変更する前に 2FA 確認が必要です。

3. 電子メールと SMS 検証は、リスクの高い操作時の 2FA の代替ではなく、二次的なフォールバックとしてのみ機能します。

4. Bybit のバックエンドは 2FA コードの送信試行に厳格なレート制限を適用し、5 回の検証に失敗するとアカウントを一時的にロックします。

5. アクティブ化、非アクティブ化、デバイスの変更を含むすべての 2FA 関連イベントはリアルタイムで記録され、ユーザー ダッシュボード内のセキュリティ監査証跡に表示されます。

過去のインシデントと対応プロトコル

1. 2025 年 2 月、標的型フィッシング キャンペーンが Bybit サポート チャネルになりすまし、2FA コードを収集しました。プラットフォームは、すべての公式インターフェイスに動的なフィッシング対策バナーを展開することで対応しました。

2. 2025 年初頭の Lazarus Group の侵入を受けて、Bybit はハードウェア セキュリティ モジュール (HSM) の統合を加速し、2FA 検証ロジックを一般的なアプリケーション サーバーから分離しました。

3. 2019 年の実装以来、Bybit 上で適切に設定された TOTP 2FA のバイパスに成功した検証済みのインシデントはありません。

4. 2025 年第 3 四半期に実施された独立したサードパーティの侵入テストでは、2FA トークンの生成または検証パイプラインに脆弱性が存在しないことが確認されました。

5. Bybit は、2025 年の侵害後 72 時間の全額資金回復プロセスを公表し、2FA 侵害によるユーザー損失はゼロであると明示しました。

アカウントレベルの 2FA 構成要件

1. 金額や宛先ネットワークに関係なく、暗号通貨の出金を開始する前に 2FA を有効にすることが必須です。

2. ユーザーは、72 時間のクーリングオフ期間を完了し、KYC の再提出を通じて本人確認を行わない限り、2FA を無効にすることはできません。

3. 各 Bybit アカウントは、一度に 1 つのアクティブな TOTP デバイスのみを許可します。 2 番目のデバイスを登録しようとすると、以前の登録は自動的に無効になります。

4. プラットフォームは、リプレイ攻撃を防ぐために、30 秒の有効期間内であっても、以前に生成された TOTP コードの再利用を拒否します。

5. デバイス バインディングは暗号レベルで行われます。同じ秘密キーが、異なる時間間隔またはプラットフォームにわたって同じコードを生成することはありません。

よくある質問

Q1: Bybit 2FA で Google Authenticator の代わりに SMS を使用できますか? Bybit は、SMS ベースの 2 要素認証をサポートしていません。 Google Authenticator、Authy、Microsoft Authenticator などの認証アプリ経由の TOTP のみが許可されます。

Q2: 2FA デバイスを紛失し、バックアップ コードを保存しなかった場合はどうなりますか?アカウントを回復するには、検証済みの KYC 文書を提出し、通常 72 営業時間かかる手動審査プロセスを受ける必要があります。

Q3: Bybit では複数の 2FA デバイスを同時に使用できますか?いいえ、Bybit は単一デバイスのバインディングを強制します。新しい認証デバイスを追加すると、以前の認証デバイスの有効なコードを生成する機能が即座に無効になります。

Q4: 2FA コードは Bybit のサーバーに保存されますか?いいえ。TOTP の生成に使用される秘密キーは、初期設定後に Bybit のインフラストラクチャに送信されたり、保存されたりすることはありません。