暗号資産の口座、乗っ取られたら
お金は戻ってくるの？
コインチェック・ビットフライヤー・ビットバンク・GMOコイン・SBI VCトレードの5社。「補償します」と書いてあるかどうかを、実際の規約とFAQで1つずつ確かめました。結論から言うと、多くの人が思っているのとは違いました。
結論：あなたの口座が乗っ取られても、お金が戻る約束はありません
① いちばん大事なことを先に書きます。5社とも、「あなたの口座が第三者に乗っ取られてお金を出された」場合に、いつでも必ず補償しますという制度は持っていません。銀行の預金保険のようなものは、暗号資産にはありません。
② ネットで「最大100万円まで補償」といった情報を見かけますが、すでに終わっているものや、そもそも始まらなかったものが混ざっています。詳しくは第6章に書きました。
③ 5社を7つの項目で採点すると、コインチェックが14点でいちばん高く、GMOコイン12点、ビットバンク・SBI VCトレード・ビットフライヤーが11点でした（21点満点）。
④ ただし5社とも、必ずどこかに弱いところがあります。そして弱い場所はバラバラです。「この会社にすれば安心」という答えは、残念ながらありません。
⑤ だから、いちばん現実的な守り方は「自分で設定する」ことです。第7章に、今日できる10のことをまとめました。むずかしい作業はありません。
この記事は「どこが安全か」ではなく、「どこが、どういうときに守ってくれないか」を調べたものです。
この記事の地図（全7章＋よくある質問）
暗号資産（ビットコインなど）を持っている人から、よくこう聞かれます。「銀行みたいに、盗まれたら補償してもらえるんですよね？」
答えは「いいえ」です。少なくとも、あなたの口座のIDとパスワードを盗まれて、そこからお金を出された場合については、5社とも「必ず補償します」とは書いていません。
これは会社が不親切だからではありません。暗号資産には、銀行の預金保険にあたる制度がないからです。法律の作りがそもそも違うのです。
この記事では、5社の公式FAQと規約を1つずつ読んで、「どこまで守ってくれて、どこからは自分の責任になるのか」を整理しました。むずかしい言葉はできるだけ使わず、使うときは必ずその場で説明します。
調べたのは各社が公開しているFAQ・規約・お知らせだけです。会社の中でどんな監視をしているかは公開されていないので、点数には入っていません。ですからこれは「安全な会社ランキング」ではありません。「公開されている説明を読むかぎり、こう書いてある」という比較です。
「確認できませんでした」は「やっていない」という意味ではありません。ただ、利用者から見て確かめられないことは、いざというときに当てにしにくいのも事実です。
調べたのは2026年8月24日時点の情報です。ルールはよく変わります。実際に手続きするときは、必ずその会社の最新の案内を見てください。特定の会社をすすめたり、すすめなかったりする意図はありません。
結論：5社の点数と、共通する弱点
点数より大事なのは、どこが弱いかです
7つの項目を、それぞれA＝3点、B＝2点、C＝1点、D＝0点で採点しました。全部で21点満点です。
5社の総合点（21点満点）
| 順位 | 取引所 | 点数 | いちばん弱いところ | ひとことで言うと |
|---|---|---|---|---|
| 1位 | コインチェック | C | お金を動かすときの確認がいちばん厳しい。2026年7月31日から、送金や出金では指紋・顔認証が必須になりました | |
| 2位 | GMOコイン | C | パスワードでのログインを、自分でオフにできます。偽サイトに入力する「パスワード」自体をなくせるのが強み | |
| 3位 | ビットバンク | C | 指紋・顔認証に切り替えると、古いパスワードが自動で無効になります。切り替え忘れが起きにくい設計 | |
| 3位 | SBI VCトレード | C | 2026年に指紋・顔認証を導入。ただし従来のパスワード経路も残り、オフにはできないと案内しています | |
| 3位 | ビットフライヤー | C | あやしいログインに気づいたら、メールのリンクからすぐ口座を凍結できます。この機能は5社で唯一 |
A＝3点、B＝2点、C＝1点、D＝0点。2026年8月24日時点の公開情報から筆者が採点。会社の内部の対策は公開されていないため、点数に入っていません。
5社とも「いちばん弱いところ」がCでした
表のいちばん右から2列目を見てください。5社すべてがCです。これは偶然ではありません。
セキュリティは、強いところの数ではなく、いちばん弱いところで決まります。泥棒は玄関・窓・裏口を全部こじ開けたりしません。いちばん簡単なところを1か所だけ選びます。だから「合計点が高いから安心」とは言えないのです。
5社 × 7つの壁（一覧）
| 見るところ | コイン チェック | GMO コイン | ビット バンク | SBI VC トレード | ビット フライヤー |
|---|---|---|---|---|---|
| 1 口座を作るとき | B | B | B | B | B |
| 2 ログインの守り | B | A | A | B | C |
| 3 お金を動かすとき | A | B | B | B | B |
| 4 送り先の登録と待ち時間 | A | C | C | C | C |
| 5 APIという裏口 | C | B | C | B | C |
| 6 すぐ止められるか | B | C | C | C | A |
| 7 お金は戻るか | C | C | C | C | C |
| 合計（21点満点） | 14 | 12 | 11 | 11 | 11 |
横に読んでみてください。いちばん下の「お金は戻るか」の行が、5社すべてCです。ここだけは、どこを選んでも変わりませんでした。
強いところは、会社によってバラバラです
縦に読むと、それぞれの個性が見えます。コインチェックはお金を出すときの確認、GMOコインとビットバンクはログイン、ビットフライヤーは事故のあとすぐ止められること。全部が得意な会社は1つもありません。
ですからこの記事の使い方は、「1位の会社に乗り換える」ではありません。いま使っている会社の弱いところを知って、そこを自分の設定で埋めることです。第7章がそのためのリストです。
第1章 おわり — 「乗っ取り」の種類を整理します
「乗っ取り」には3つの種類があります
ここを分けないと、補償の話がぐちゃぐちゃになります
ニュースで「暗号資産が○○億円盗まれた」と聞くと、全部同じ事件のように思えます。でも中身はまったく違う3種類があります。そしてお金が戻ってくるかどうかも、種類によって違います。
🔍 同じ「盗まれた」でも、3つに分かれます
なぜ③だけ補償されたのか
過去に大きなニュースになった事件があります。コインチェック（2018年）、ザイフ（2018年）、ビットポイント（2019年）、DMMビットコイン（2024年）。いずれも会社側のシステムから資産が流出したケースで、多くは全額または全量が返されました。
ただし、ここが大事なところです。これは「そういう制度があったから」ではありません。事件ごとに、会社がお金を集めたり、他の会社が事業を引き継いだり、資産を補充したりして対応したものです。
「あの取引所は過去に全額返してくれたから、私が乗っ取られても返してくれるはず」──これは成り立ちません。過去の対応は③（会社の金庫）の話で、①（あなたの口座）の話ではないからです。会社の規約には、「あなたの口座で行われた取引は、原則あなたの責任」と書かれているのが普通です。
実は、統計で語れない分野です
この記事を書くにあたって、手元にある国内の情報漏えい報道データベース（2025年8月〜2026年8月・745件）を調べました。ところが、暗号資産取引所に関する事案は1件も見つかりませんでした。
「事故がない」ではなく「表に出にくい」ということ
0件だったのは、事故が起きていないからではありません。個人の口座が1つ乗っ取られても、ニュースにならないからです。会社の金庫が破られれば大ニュースになりますが、あなたの口座は違います。
つまりこの分野は、「どのくらい起きているか」を数字で確かめる方法がありません。だからこそ、「起きたときにどうなるか」を規約で先に確認しておくことが、他の分野以上に大事になります。
第2章 おわり — どこを見ればいいのかへ
何を見るか｜7つの壁
お金が出ていくまでに、いくつ関門があるか
泥棒があなたのお金を持ち出すまでには、いくつもの関門を通らなければいけません。その関門を7つに分けたのが「7つの壁」です。
🛡 お金が出ていくまでの7つの関門
「パスキー」だけ、先に説明しておきます
この記事で何度も出てくる言葉です。パスキーとは、パスワードの代わりにスマホの指紋認証や顔認証でログインするしくみのことです。
なぜ強いかというと、そもそも「入力する文字」が存在しないからです。偽サイトに誘導されても、入力するパスワードがないので盗みようがありません。あなたの指紋データが会社に送られることもありません。いま使えるいちばん強い守り方だと思ってください。
第3章 おわり — ここから5社の中身を見ます
壁1〜3：入口・ログイン・お金を動かすとき
ここが、いちばん差がついた部分です
| 取引所 | 壁2 ログインの守り | 壁3 お金を動かすとき | 実際どうなっているか |
|---|---|---|---|
| コインチェック | B 2 | A 3 | 5つの操作で指紋・顔認証が必須（暗号資産の送金先の登録／暗号資産の送金申請／日本円の出金先銀行口座の登録／日本円の出金申請／NFTの出庫先アドレスの追加）。ログイン時は任意 |
| GMOコイン | A 3 | B 2 | パスワードでのログインを、自分でオフにできます。日本円の出金・暗号資産の送付・登録情報の変更では追加の認証が必須 |
| ビットバンク | A 3 | B 2 | 指紋・顔認証に切り替えると、古いパスワードが自動で無効になります。しかも自分では元に戻せず、戻したい場合は会社への問い合わせが必要。出金するときはメールのリンクを開く確認も必須 |
| SBI VCトレード | B 2 | B 2 | 2026年3月18日にパソコン版（Webトレーダーモード・シンプルモード・マイページ）、6月下旬にスマホアプリへ指紋・顔認証を導入。ただし使うかどうかは任意で、従来の2要素認証も引き続き使えます。パスワードでのログインをオフにできる案内は確認できませんでした |
| ビットフライヤー | C 1 | B 2 | 指紋・顔認証は公開資料から確認できませんでした。ログインするときの2段階認証も、任意（つけるかどうかは自由）です |
壁1（口座を作るとき）は5社ともBにしました。いまはどこも、身分証と顔写真を使ったオンライン確認をしていて、公開情報から差を見つけられなかったためです。
なぜ「パスワードを消せる」ことが強いのか
ここは少していねいに説明します。
🎣 偽サイトに引っかかったとき、何が起きるか
図の下のオレンジ色の部分が、いちばん大事なところです。パスキーを設定しても、パスワードでのログインが残っていれば、泥棒はパスワードのほうを使います。
だからこの記事では、「パスワードを消せるかどうか」を重く見ました。GMOコインは自分でオフにでき、ビットバンクは指紋・顔認証に切り替えると自動でオフになります。この2社が壁2でAなのは、そのためです。
2段階認証（にだんかいにんしょう）にも、強いものと弱いものがあります。
メールに届くコードは、メールを乗っ取られたら終わりです。SMS（ショートメール）は、携帯電話番号を乗っ取られる手口があります。認証アプリの数字も、上の図のとおり偽サイトに入力させられます。いちばん強いのは指紋・顔認証（パスキー）です。アメリカの政府機関（NIST）が定めた基準では、「偽サイトに強い方式」の条件を「接続先のサイト名と暗号のしくみで結びついていること」としています。手で入力するコードは、この条件を満たしません。
会社ごとの、気をつけるポイント
🟢 コインチェック ─ お金を出すときが、いちばん厳しい
公式FAQによると、次の5つの操作で指紋・顔認証が必須です。暗号資産の送金先の登録／暗号資産の送金申請／日本円の出金先銀行口座の登録／日本円の出金申請／NFTの出庫先アドレスの追加。ログインできただけでは、お金を外に出せません。さらに電話番号を変更したあと24時間は暗号資産を送金できず、問い合わせても解除できないという決まりもあります。
ただしログインするときのパスキーは任意です（FAQで「必須」と書かれているのは上の5つだけ）。だからログインの守り（壁2）はBにしています。
🟩 GMOコイン・ビットバンク ─ 入口そのものを狭められる
どちらもパスワードでのログインをなくせます。とくにビットバンクは、指紋・顔認証に切り替えると古いパスワードが自動で無効になり、しかも自分では元に戻せません（戻したいときは会社への問い合わせが必要）。「消し忘れ」も「うっかり戻す」も起きない設計で、これはとても良いと思います。
いっぽうGMOコインには注意点があります。パスワードでのログインを無効にしていても、パスキーを設定した端末を機種変更したり紛失したりした場合は、メールアドレスとパスワードでのログインが必要になることがあると案内されています。完全にゼロにはできないということです。
🟡 SBI VCトレード ─ 新しい認証はあるが、古い道も残る
2026年3月18日にパソコン版、6月下旬にスマホアプリへ指紋・顔認証を導入しました。ただし使うかどうかは任意で、従来の2要素認証も引き続き使えます。パスワードでのログインをオフにできるという案内は、公開資料から確認できませんでした（「できない」と断定はしません）。
また2025年9月3日から2段階認証が必須になりましたが、認証アプリもSMSも設定していない人は、メールに届くコードで利用できます。メールを乗っ取られると、ここが弱点になります。
🔴 ビットフライヤー ─ ログインの守りは、自分で設定する必要がある
公開資料からは指紋・顔認証を確認できませんでした。さらにログインするときの2段階認証は「任意」です。つまり何も設定しなければ、IDとパスワードだけでログインできる状態ということです。会社自身も「メール方式は、メールが乗っ取られると突破される」と説明し、SMSか認証アプリをすすめています。使っている方は、今すぐ設定を確認してください。
第4章 おわり — 見落とされがちな「裏口」の話へ
壁4〜5：送り先の登録と「API」という裏口
ここは、あまり語られない話です
壁4｜新しい送り先に、すぐ送れてしまわないか
泥棒がログインに成功したとします。次にやるのは「自分の口座を送り先に登録する」ことです。ここで待ち時間があれば、あなたが気づく余裕が生まれます。
| 取引所 | 壁4 | 公開されている決まり |
|---|---|---|
| コインチェック | A 3 | 登録したばかりの送り先には、一定時間は送金できない制限があります（時間の長さは、悪用を防ぐため非公開）。さらに電話番号を変えたあと24時間は送金できません。条件によっては、マイナンバーカードを使った追加の本人確認も求められます |
| ビットフライヤー | C 1 | 送り先を登録するときに追加の認証を求める会社はありますが、「登録してから一定時間は送れない」という待ち時間のしくみは、公開資料から確認できませんでした。「無い」という意味ではなく、書かれていないという意味です |
| ビットバンク | C 1 | |
| GMOコイン | C 1 | |
| SBI VCトレード | C 1 |
「待ち時間」は、地味ですがとても効きます
暗号資産は、いちど送ってしまうと取り戻せません。銀行振込のように「組戻し」ができないのです。だから送る前に時間を稼ぐことに意味があります。
たとえば夜中に泥棒がログインしても、送り先の登録から24時間待たされるなら、あなたが朝メールに気づいて止められるかもしれません。コインチェックが壁4でAなのは、この「時間のブレーキ」を複数持っているからです。
壁5｜APIという「もう一つの入口」
ここは少しむずかしい話ですが、大事なので説明します。
APIとは、かんたんに言うと「アプリ用の合鍵」です
自動売買のツールや、資産管理アプリと取引所をつなぐときに使います。取引所の画面からAPIキー（合鍵の文字列）を発行して、そのツールに登録するという使い方です。
問題は、この合鍵は指紋認証を通りません。文字列を持っている人なら誰でも使えてしまいます。つまり、どれだけログインを厳しくしても、合鍵が漏れれば別の入口から入られるのです。
| 取引所 | 壁5 | 公開されているAPIで、お金を外に出せるか |
|---|---|---|
| GMOコイン | B 2 | 公開されているAPIの一覧に、出金を実行する機能を確認できませんでした |
| SBI VCトレード | B 2 | 一般向けのAPIを公開していません |
| コインチェック | C 1 | 暗号資産の送金と日本円の出金を、APIで実行できます |
| ビットバンク | C 1 | 出金の申請をAPIで実行できます |
| ビットフライヤー | C 1 | 日本円の出金をAPIで実行できます |
コインチェックは、画面から送金するときは指紋・顔認証が必須です。ところが出金できる権限を付けたAPIキーを作ってしまうと、そのキーだけでお金を出せてしまいます。せっかくの強い守りを、自分で回り道させてしまうことになるのです。
自動売買ツールや家計簿アプリを使っていない人は、APIキーを作らないでください。すでに作った覚えがある人は、いま一度、取引所の画面で確認して、使っていないものは削除してください。
GMOコインとSBI VCトレードをBにしたのは、「守りが強い」からではありません。そもそも外からお金を出せる入口が公開されていないので、攻撃できる面積が小さいという意味です。会社の中の仕組みが安全だという意味ではありません。
第5章 おわり — いよいよ補償の話です
壁6〜7：すぐ止められるか、戻ってくるか
この記事でいちばん読んでほしい章です
壁6｜気づいたその場で、止められるか
被害に気づくのは、たいてい夜中や休日です。そのとき自分で口座を止められるかどうかで、被害の大きさが変わります。
| 取引所 | 壁6 | 自分で止められるか |
|---|---|---|
| ビットフライヤー | A 3 | ログイン通知メールにあるリンクから、その場で口座を凍結できます。解除するには本人確認が必要です。5社でこの機能を確認できたのはここだけでした |
| コインチェック | B 2 | 不正ログイン・盗難・紛失を理由としたロックと、本人確認をしてからの解除の流れが公開されています |
| ビットバンク | C 1 | ワンクリックで自分で凍結できるしくみは、公開資料から確認できませんでした。サポートへの連絡が必要になると思われます |
| GMOコイン | C 1 | |
| SBI VCトレード | C 1 |
ビットフライヤーは、ログインの守りでは5社中いちばん低い評価（C）でした。でも、事故が起きたあとの止めやすさでは5社でいちばんです。これが「合計点で判断できない」という意味です。
壁7｜お金は戻ってくるのか ── 5社とも C でした
あなたの口座が乗っ取られてお金を出された場合、「必ず補償します」と約束している会社は、5社の中にありませんでした。
各社の規約には、たいてい「口座の情報は利用者が管理するもので、第三者が行った取引も原則として利用者の責任」という趣旨が書かれています。会社に重大な落ち度があった場合は別ですが、それを証明するのは簡単ではありません。
ネットで見かける「補償制度」に気をつけてください
検索すると、いまでもこういう情報が出てきます。でも、実際に確かめると違っていました。
| よく見かける情報 | 実際はどうなっているか |
|---|---|
| ビットフライヤーには不正出金の補償制度がある | その制度は2021年6月1日16時で終わっています（2017年6月1日に開始し、4年で終了）。しかも当時の補償額は、預入残高100万円以上の人で500円、それ未満で10万円でした。現在の案内では、フィッシング（偽サイト）による不正出金などは補てんしないと明記されています |
| コインチェックには最大100万円のなりすまし補償がある | 2017年に発表された制度ですが、その後の追記で「提供を開始していない」とされたという情報があります。ただし筆者の再確認では、この追記の原典に到達できませんでした。いずれにせよ、現在の公式FAQに「乗っ取り被害を補償する」という案内は見当たりません。古い記事の情報を、そのまま信じないでください |
| 過去に全額返してもらえた会社だから安心 | それは会社の金庫が破られたとき（第2章の③）の話です。事件ごとに会社がお金を工面して対応したもので、あなたの口座が乗っ取られたときの約束ではありません |
| コールドウォレットで管理しているから安全 | インターネットから切り離して保管するしくみで、たしかに大事です。ただしこれは「会社の金庫を守る」対策で、あなたの口座の乗っ取りとは別の話です |
| 法律で守られているはず | 法律の整備は進んでいます。2025年6月に成立・公布された改正資金決済法（2026年6月までに施行）に加え、2026年には不正流出に備えてお金を積み立てる制度を含む改正法が成立しました。ただし細かいルールはこれから決まる部分があり、いずれも会社側からの流出に備えるものです。あなたが偽サイトにパスワードを入力してしまった場合を補償する制度ではありません |
銀行の「預金保険」と、まったく違います
銀行なら、その銀行がつぶれても1,000万円までは制度で守られます。暗号資産には、これにあたるものがありません。
「分別管理」「コールドウォレット」「履行保証暗号資産」といった言葉が出てきますが、これらは会社がつぶれたときや、会社の金庫が破られたときに備えるしくみです。あなたが偽サイトにパスワードを入力してしまった場合を、まとめて補償する制度ではありません。ここを混同しないでください。
第6章 おわり — では、どうすればいいのか
今日できる10のこと
むずかしい作業はありません。上から順にどうぞ
補償がないなら、自分で守るしかありません。とはいえ、やることは多くありません。上から3つやるだけでも、かなり違います。
効果の大きい順に並べました（全部で30分ほど）
- 指紋・顔認証（パスキー）を設定する。使えるなら必ず。いま使えるいちばん強い守り方です
- パスワードでのログインをオフにできるなら、オフにする。GMOコインは自分でオフにでき、ビットバンクは切り替えると自動でオフになります
- 取引所に登録しているメールアドレスを守る。そのメール自体にも指紋・顔認証を設定してください。メールを取られると、多くの確認が突破されます
- 取引所用のメールアドレスを、買い物やSNSと分ける。どこかのサイトが漏えいしても、取引所には届きません
- 2段階認証を「メール」にしているなら、認証アプリに変える。SMSより、認証アプリのほうが安全です
- 使っていないAPIキー（アプリ用の合鍵）を削除する。自動売買ツールを使っていないなら、そもそも作らないでください
- ログイン通知メールをオンにする。ビットフライヤーなら、その通知からその場で口座を凍結できます
- 送金・出金のときに何を求められるか、平常時に一度試しておく。いざというときに操作を迷わなくなります
- 口座を止める連絡先を、スマホのメモに書いておく。スマホが使えないときのために、紙にも控えておくと安心です
- 取引所に置く量を減らす。すぐ売買しない分は、自分で管理するウォレットに移すのも選択肢です（ただし自己管理は鍵の紛失リスクがあります）
時間がないなら、上から3つだけ
①指紋・顔認証を設定する ②パスワードをオフにできるならオフにする ③メールアドレスを守る。この3つで、いちばん多い被害の入口はふさげます。所要は10分ほどです。残りは、週末にでも。
もし「乗っ取られたかも」と思ったら
⏸ まず止める
自分で凍結できるならすぐ実行。できない会社なら、サポートに電話かメールで連絡します。迷っている時間が、そのまま被害額になります。
📧 メールのパスワードも変える
取引所だけ止めても、メールが乗っ取られたままだと、そこから戻されてしまいます。メール側も同時に守ってください。
🚓 警察に届け出る
受理番号を控えておきます。会社に相談するときにも必要になることがあります。
📝 何をして、何をしていないかを書き出す
「このメールは開いたが、リンクは押していない」「パスワードはどこにも入力していない」──記憶が新しいうちに、時系列でメモしてください。会社との話し合いで、これが効きます。
①あなたの口座が乗っ取られた場合、5社とも「必ず補償する」とは書いていません。②ネットで見かける補償制度には、すでに終わったものや、始まらなかったものが混ざっています。③だから守り方は自分の設定しかありません。指紋・顔認証を設定し、パスワードを消せるなら消し、メールを守る。この3つが基本です。
第7章 おわり — よくある質問へ
よくある質問
読んでいて浮かびそうな疑問に答えます
結局、どの取引所を使えばいいのですか？
「これを使えば安心」という答えはありません。5社とも、必ずどこかに弱いところがありました。しかも弱い場所はバラバラです。お金を出すときの厳しさならコインチェック、ログインの守りならGMOコインとビットバンク、事故のあとすぐ止めたいならビットフライヤー。乗り換えるより、いま使っている会社の弱点を知って、自分の設定で埋めるほうが現実的です。
「コールドウォレットだから安全」とよく聞きますが、違うのですか？
安全のために大事なしくみですが、守る対象が違います。コールドウォレットは、インターネットから切り離して暗号資産を保管するしくみです。これが守るのは「会社の金庫」であって、あなたの口座の乗っ取りではありません。あなたがIDとパスワードを盗まれて、正規の手続きで送金されてしまった場合、コールドウォレットは何の役にも立ちません。
2段階認証をしていれば大丈夫ですよね？
種類によります。メールに届くコードは、メールを乗っ取られたら意味がありません。SMSは、携帯番号を乗っ取る手口があります。認証アプリの数字も、偽サイトに入力させられれば突破されます。いちばん強いのは指紋・顔認証（パスキー）です。アメリカの政府機関（NIST）が定めた基準では、「偽サイトに強い方式」の条件を「接続先のサイト名と暗号のしくみで結びついていること」としており、手で入力するコードはこの条件を満たしません。
ビットフライヤーは点数が低いのに、なぜ「止められる」ところだけAなのですか？
得意な場所が違うからです。ビットフライヤーは、ログインの守りでは5社中いちばん低い評価でした（指紋・顔認証を公開資料から確認できず、ログイン時の2段階認証も任意）。一方で、ログイン通知メールのリンクから、その場で口座を凍結できる機能は5社で唯一です。夜中に不審なログイン通知が来ても、自分で即座に止められます。合計点だけでは、こういう強みが見えません。
APIキーって、私にも関係ありますか？
自動売買ツールや資産管理アプリを使っていないなら、関係ありません。そして使っていないなら、絶対に作らないでください。APIキーは「アプリ用の合鍵」で、指紋認証を通りません。文字列を持っている人なら誰でも使えます。せっかく指紋・顔認証を設定しても、出金できる合鍵を作ってしまうと、そこが抜け道になります。心当たりのある人は、取引所の画面で今すぐ確認してください。
2026年に法律が変わったと聞きました。守られるようになりますか？
方向としては前進ですが、あなたの口座の乗っ取りを補償するものではありません。2026年に成立した改正法には、不正に流出したときの補償の元手として、会社にお金を積み立てさせる制度が含まれています。ただし積立の割合など細かいルールは今後決まる部分があります。そして対象はあくまで「会社側からの流出」です。あなたが偽サイトにパスワードを入力してしまった場合は、この制度の話ではありません。
なお、2025年6月に成立・公布された改正資金決済法（2026年6月までに施行）もあり、ニュースで「暗号資産の法改正」と言われるものが複数あります。どちらも利用者保護を強めるものですが、個人の口座乗っ取りを補償する制度ではないという点は共通しています。
この記事の点数は、どのくらい信じていいですか？
「公開されている説明を読むかぎり、こう書いてある」という比較だと思ってください。会社の中でどんな監視をしているかは公開されていないので、点数に入っていません。ですから「安全な会社ランキング」ではありません。また「確認できませんでした」は「やっていない」ではなく、公開資料に書かれていないという意味です。ただし、利用者から確かめられないことは、いざというときに当てにしにくいのも事実です。
よくある質問 おわり — 出典へ
出典（2026年8月24日時点）
- コインチェック「パスキーとは何ですか？」（暗号資産の送金先の登録／暗号資産の送金申請／日本円の出金先銀行口座の登録／日本円の出金申請／NFTの出庫先アドレスの追加の5操作でパスキー必須。ログイン時は任意）、パスキー認証の必須化に関する一連のお知らせ、「暗号資産の送金方法」（登録直後の送付先への一定時間の制限）、「送金可能額」（登録電話番号の変更後24時間は送金不可）、「アカウントロックの解除」、追加本人確認に関するお知らせ、2017年発表の補償に関する記載と2019年の追記
- ビットフライヤー「アカウント・ログインに関するFAQ」（ログイン時の2段階認証は任意。外部アドレス登録・日本円出金・暗号資産の外部送付では必須。メール／SMS／認証アプリの3方式）、「フィッシングに関する注意喚起」（フィッシングによる不正出金等は補てんしない旨）、「アカウント凍結・解除」（ログイン通知メールからの自己凍結）、「債務の履行に関する方針」、旧補償制度（2017年6月1日開始「メールアドレス・パスワード等の盗取による不正出金被害の補償」。補償額は預入残高100万円以上で500円、それ未満で10万円。ログインと出金の両方で2段階認証を利用していることが条件。2021年6月1日16時で終了）
- ビットバンク 公式サポート「パスキーの登録方法」「パスキーを設定しているがパスワードも有効化したい」（パスキー設定後はパスワードが自動的に無効化され、再設定には問い合わせが必要）、出金確定時のメールURL確認、API仕様（出金リクエスト）
- GMOコイン「パスキーについて」「パスキー認証の設定方法」（パスワードによるログインを無効化でき、他端末からのログインを防げる。ただし機種変更や紛失の際にメールアドレスとパスワードでのログインが必要になる場合がある）、日本円出金・暗号資産送付・登録情報変更での2段階認証必須、公開API仕様
- SBI VCトレード「パスキー認証」およびお知らせ（2026年3月18日にVCTRADE Webトレーダーモード・シンプルモード・マイページへ導入、スマートフォンアプリは2026年6月下旬。従来の2要素認証も引き続き利用可能）、「2段階認証の必須化のお知らせ」（2025年9月3日。認証アプリ／SMS未設定時はメール認証コード）、「サイバー攻撃発生時の対応方針」、取引説明書（顧客暗号資産のホットウォレット保管は各銘柄総量の5％上限）、約款・規程
- NIST SP 800-63B-4「Authenticators」（WebAuthn／FIDO2をフィッシング耐性のある認証の例として提示。手で入力するワンタイムパスワードはその条件を満たさない）
- 金融庁「暗号資産交換業等におけるサイバーセキュリティ強化に向けた取組方針」（2026年）、および法改正（2025年6月6日成立・6月13日公布の改正資金決済法は公布から1年以内＝2026年6月までに施行。加えて2026年に成立した金融商品取引法・資金決済法の改正に、不正流出時の顧客補償原資としての責任準備金制度が含まれる。積立率等の細目は今後の内閣府令事項）
- 国内の情報漏えい報道データベース（2025年8月1日〜2026年8月21日・745件）＝ 暗号資産取引所に関する事案は0件。報道されない個人被害は含まれないため、発生件数を示すものではありません
コメント