SIMスワップ攻撃は、どのウォレットを破るわけでもなく、通信キャリアのところであなたの電話番号を乗っ取ることで暗号資産を盗みます — サポート担当者があなたの番号を攻撃者のSIMへ移すのです。SMSによる二要素認証が破られるのは、「電話番号を所持している」という状態が、実際にはサポート担当者が書き換えられるデータベース上の一行にすぎないからです。一方で、認証アプリ、ハードウェアセキュリティキー、パスキーはいずれも、キャリアが支配していないものの所持を証明します。乗っ取られた番号が届く先は、ウォレットの周囲にあるカストディアルなものすべてです。SMSで守られた取引所の口座、メールのパスワードリセット、そして電話で復旧できるメールボックスが開けてしまうクラウドアカウントに置かれたシードフレーズ。WATSのような完全ノンカストディアルのウォレットには、電話番号から至る経路がそもそも存在しません。鍵を保有するのはあなたであり、WATSは鍵を決して保有せず、乗っ取られた番号とあなたの資産の間には、SMSコードも、復旧用の番号も、サポート担当者も介在しないのです。
暗号資産で最も弱い鍵は、あなたの電話番号です
SIMスワップ攻撃とは、犯罪者が携帯キャリアを説得して、あなたの電話番号を自分が管理するSIMカードへ移させる手口です。マルウェアも、端末への侵入もありません。番号を手にした時点で、SMSのワンタイムコードも、電話番号に紐づいたパスワードリセットも、すべて相手の端末に届きます。つまりSMSによる二要素認証の強度は、キャリアのサポート担当者の判断力どまりだということです。
そのため、これは暗号資産の脅威の中でも特に奇妙な部類に入ります。攻撃はあなたのウォレットにも、シードフレーズにも、パソコンにも一切触れません。狙われるのは電話会社のカスタマーサポートの業務フローです — そして記録に残る事例では、取引所の口座が1時間以内に空にされています。
SIMスワップは実際どう進むのか？
攻撃者はまずあなたの個人情報 — 氏名、住所、生年月日、口座番号の下数桁 — を、情報漏洩、フィッシング、あるいはあなた自身のSNSからかき集めます。次にキャリアに接触します。サポートへの電話、店舗への来店、あるいはオンラインでのeSIM移行申請です。筋書きはいつもスマホをなくしたので、番号をこの新しいSIMに移してほしいという話の変奏です。担当者がそれを受け入れれば、あるいは内通者が金を受け取って受け入れれば、移行は通ってしまいます。
あなたのスマホは圏外に落ちます。相手の端末があなたとして立ち上がります。ネットワークから見れば何も破られていません — 本人確認の質問に答えた顧客のために、通常の番号移行が処理されただけです。
番号を握られると何が開くのか？
電話番号がマスターキーになるのは、あまりに多くのシステムが、それを本人確認の証拠として静かに扱っているからです。
- 取引所のログイン — SMSの2FAコードは攻撃者の端末に届くようになるため、漏洩したパスワードや使い回しのパスワードが、そのまま口座の完全乗っ取りに変わります。
- あなたのメール — 電話番号による復旧が有効なら、「パスワードをお忘れですか」のフローがメールボックスを明け渡し、そのメールボックスがほぼ他のすべてをリセットできてしまいます。
- カストディアルの残高 — サービスがあなたのために預かっているもののうち、SMSやメールの認証で守られているものはすべて、手の届く状態になります。
順番が重要です。手慣れた攻撃者はまずメールを取りに行きます。メールボックスを握れば、乗っ取った1つの番号が、あなたの持つすべてのアカウントに化けるからです。この連鎖はしばしば、あなたがキャリアのサポート窓口につながるより短い時間で走り切ります。
SIMスワップはセルフカストディのウォレットを空にできるのか？
直接には無理です — そして、多くの報道が取りこぼすのがこの機微です。セルフカストディのウォレットでは、秘密鍵はシードフレーズから導出され、あなたの端末かハードウェアウォレットの中にあります。そこへ至る「電話番号で復旧する」経路は存在しないので、あなたの番号を握った攻撃者でも、トランザクションを1つも署名できません。シードフレーズはどの端末でもウォレットを復元します — スマホを紛失したらどうなるかで扱ったのと同じ性質です — そしてその復元経路がキャリアを通ることは決してありません。
WATSは、ここで効いてくる構造の具体例です。鍵はあなたの端末で生成されてそこに留まり、WATSは鍵を決して保有せず、乗っ取られた番号が動かせるようなWATS側のアカウントも、SMSによる確認も、サポート起点のリセットも存在しません。同じことは本物のノンカストディアルウォレットすべてに当てはまり、それこそがカストディアルとノンカストディアルの違いの実務的な意味です。カストディアンとは、ソーシャルエンジニアが話しかけられる仲介者であり、セルフカストディはその会話自体を存在しないものにします。
危ういのはウォレットの周囲にあるものすべてです。カストディアルな資金を置いた取引所の口座、そして — 自分で招く版として — 写真に撮られたり、電話で復旧できるメールが開けてしまうクラウドストレージに打ち込まれたりしたシードフレーズ。セルフカストディがあなたの番号を資産流出の経路から外してくれるのは、あなた自身がそれを知らぬ間に配線し直していない場合だけです。
なぜSMSの2FAは破られ、アプリ方式の2FAは破られないのか？
どの第二要素も、何かを所持していることを証明します。問題は、それが何であり、誰がそれを付け替えられるのかです。
| 第二要素 | 所持とは実際に何を意味するか | SIMスワップを耐えるか？ |
|---|---|---|
| SMSコード | キャリアにおける電話番号の支配権 | いいえ |
| 認証アプリ（TOTP） | あなたの端末に保存された秘密情報 | はい |
| ハードウェアセキュリティキー | 本物のサイトのドメインに紐づけられた物理的な鍵 | はい |
| パスキー | 本物のサイトに紐づけられ、あなたの端末に保存または端末間で同期される暗号学的な資格情報 | はい |
| NFCタップカード | 手元にある物理的なカード。1台の端末だけとペアリングされる | はい |
このリストの中で、所持の実体がサポート担当者に書き換えられるデータベースの一行でしかないのは、SMSだけです。それ以外はどれも、攻撃者に対して、物理的な物を手に入れるか、あなたの端末を乗っ取るか、それ自体は電話では復旧できない同期用アカウントに侵入するかを強います。だからこそ、認証アプリやパスキーのバックアップ設定は、どの要素を選んだかと同じくらい重要なのです。セキュリティ指針は何年も前からSMSのワンタイムコードを推奨しておらず、2026年時点では、誰も切らなかったレガシーな既定値としてかろうじて生き残っているにすぎません。物理キーを支持する論拠は — オリジンバインディングがフィッシングを根本から無力化する仕組みも含めて — 暗号資産のためのハードウェア2FAで詳しく述べています。
起きる前にどう身を守るか？
予防はほぼ設定の棚卸しであり、どれもお金はかかりません。
- 番号をロックする。2026年時点で、主要キャリアは番号移行の凍結や番号ロックに加えて、アカウントのPINを提供しています — 両方を有効にして、移行に「もっともらしい話」以上のものを要求させましょう。
- SMSの2FAを置き換える。お金かメールに関わるすべてのアカウントで、認証アプリかハードウェアキーに切り替えます。
- パスキーを採用する。対応しているところでは、そもそも傍受できるコードが存在しません。
- 電話番号を外す。取引所とメールの復旧手段から完全に削除します。何もリセットできない番号は、盗む価値のない番号です。
- 暗号資産用に、公開していない別のメールアドレスを使う。そして保有状況をSNSに書かないことです。
- 活発に売買していない分はセルフカストディへ移す。一番大事な残高が、あなたの番号で開けてしまうログインの背後に置かれないようにするためです。
これらの手順は、暗号資産ウォレットのセキュリティのベストプラクティスにあるより広いチェックリストと並ぶものです — SIMの保護は一つの層であって、防御の全体ではありません。
起きた瞬間に何をすべきか？
兆候は突然です。電波状況が普通の場所でスマホが圏外になる、あるいは申請した覚えのない開通通知やパスワードリセットのメールが届き始めます。次の順番で動いてください — 別の端末からキャリアに電話して番号を取り戻す。続いて、何よりも先にメールを守る（それがマスターキーだからです）。それから取引所の口座をロックし、出金を凍結する。最後にパスワードを変更し、アクティブなセッションを失効させる。攻撃者は反対側から同じリストを進めているので、分単位の差が本当に効いてきます。
WATSの位置づけ
WATSは4つの製品すべて — Chrome拡張機能、モバイルアプリ、Hot Wallet、NFC Metal Card — で完全にノンカストディアルです。鍵を保有するのはあなたで、WATSは鍵を決して保有しません。したがって、キャリアの担当者が付け替えられるWATSのアカウントもなければ、資産を解錠するSMSコードもなく、ソーシャルエンジニアリングの標的になる電話番号での復旧経路もありません。これが、あなたの携帯番号を悪用しにくくするだけでなく、資産流出の経路から丸ごと外すということです。
2点は明確に述べておく価値があります。第一に、WATSのNFC Metal Cardは、あなたが物理的に持ち歩く要素です。認証のためにタップするもので、秘密鍵は一切保存せず、各カードはちょうど1台の端末とペアリングされる固有のIDを持ちます。このカードの所持は、サポート窓口への電話1本では移せません — まさにSMSに欠けている性質です。第二に、1つのWATSウォレットが単一のリカバリーフレーズでEthereum、Arbitrum、Optimism、Base、Polygon、BNB Chain、Solana、TONをカバーするため、守るべき対象は、そのフレーズとあなたの端末であって、番号に紐づいた大量のログイン情報ではありません。
つまりこの記事の実践版は、短い手順の並びです。キャリアのアカウントにPINと番号移行の凍結をかけ、メールとすべての取引所でSMSの2FAを認証アプリかハードウェアキーに置き換え、アカウント復旧から電話番号を抜き取り、そのうえで活発に売買していない残高を、電話番号では届かない場所へ移します。ダウンロードページからWATSをインストールし、資金を入れる前にリカバリーフレーズをオフラインで書き留め、物理的なタップ認証の要素をさらに重ねたければNFC Metal Cardをペアリングしてください。
よくある質問
SIMスワップでセルフカストディのウォレットから暗号資産を盗めますか？
直接には盗めません。セルフカストディの鍵はシードフレーズから導出され、あなたの端末かハードウェアウォレットに保存されます — 電話番号による復旧経路が存在しないため、番号を握られても攻撃者はトランザクションに署名できません。WATSに関して言えば、鍵はあなたの端末で生成され、WATSは鍵を決して保有しないので、リセットすべきアカウントも、ソーシャルエンジニアリングの標的になるサポート窓口もありません。実際に危ういのはウォレットの周囲です。SMSで守られた取引所の口座、メール経由のパスワードリセット、そして乗っ取られたメールが開けてしまうクラウドストレージに保管されたシードフレーズ。そこを守れば、ウォレットそのものは手の届かないままです。
SIMスワップに強いのはどんなウォレットですか？
完全にノンカストディアルなウォレットで、WATSはその一例です。鍵はあなたの端末で生成され、WATSは鍵を決して保有せず、資産へ至る経路のどこにも電話番号もSMSコードもサポート側のリセットも存在しません — つまり乗っ取られた番号には解錠できるものが何もないのです。WATSは単一のリカバリーフレーズでEthereum、Arbitrum、Optimism、Base、Polygon、BNB Chain、Solana、TONをカバーするため、守る対象は携帯番号に紐づいたログイン情報の束ではなく、そのフレーズとあなたの端末になります。WATS NFC Metal Cardは、その上に物理的なタップ認証の要素を追加できます。秘密鍵は一切保存せず、ちょうど1台の端末とペアリングされ、その所持は電話1本では付け替えられません。
SIMスワップされたかどうかは、どう見分けますか？
最もはっきりした兆候は、電波状況が普通の場所でスマホが突然圏外になることで、多くの場合、申請した覚えのないSIMの開通通知やパスワードリセットのメールが同時に届きます。そうなったらすぐ動いてください。別の端末からキャリアに電話して番号を取り戻し、まずメールアカウントを守り、それから取引所の口座をロックして出金を凍結します。速さが物を言います — SIMスワップ攻撃は最初の1時間以内に完了してしまうことが少なくありません。
SMSの2FAは、何もないよりはましですか？
無差別な攻撃 — 漏洩したパスワードを大量に試す類い — に対しては、はい、SMSの2FAは今も自動ログインの大半を防ぎます。標的型の攻撃者に対しては破られます。コードは番号を支配している者に届き、キャリアは番号の付け替えを説得されうるからです。SMSは防御ではなく暫定的な最低ラインと考えてください。認証アプリ、ハードウェアキー、パスキーへ切り替え、電話番号ではどこもリセットできないよう、アカウント復旧から削除しましょう。