5000BTCが入っているとされたウォレットの復旧依頼を受けた暗号資産復旧業者が、実際に確認できた残高は約10ドル相当だった――。暗号資産の「復旧」とは、ブロックチェーン上から消えた資産を探し出すことではなく、既存ウォレットに再びアクセスするための情報を復元する作業であることを改めて示す事例が明らかになった。

Cointelegraphが3日（現地時間）に報じたところによると、Crypto Asset Recoveryの創業者兼CEO、クリス・ブルックスは2021年、「ラスティ」と名乗る顧客から、5000BTCが入ったウォレットの復旧を依頼された。

ラスティは、自身を含む3人が裁判手続きを通じて5000BTCを確保したと説明。当時の価値は約5300万ドル（約79億5000万円）に上ると主張した。3人はオンライン会議で、特定のビットコインアドレスに巨額の残高が表示された画面を示し、週当たり最大30万ドル（約4500万円）まで引き出せるものの、全額を引き出したいと話したという。

依頼を受けた翌日、ブルックス父子はジョージアに向かった。現地では、復旧に必要とされるシード情報が記されたノート数十冊を受け取り、丸1日かけて作業したが、結果は説明と大きく食い違っていた。

実際に確認できたのは、約10ドル相当のビットコインだけだった。ブルックスによると、受け取ったウォレットに、ラスティが主張していたビットコインやイーサリアム（ETH）が本当に存在していたのかは確認できなかった。渡航費さえ回収できなかったという。

ブルックスは現在、ラスティが詐欺被害者だった可能性を疑っている。実際には資産を保有していないにもかかわらず、巨額の暗号資産を持っていると思い込まされていた可能性があるという見方だ。

この事例が浮き彫りにしたのは、暗号資産ウォレット復旧の本質だ。復旧業者の役割は、ブロックチェーン上から失われたビットコインを「探す」ことではない。ユーザーがもともと保有していたウォレットに再アクセスできるよう、必要な情報を復元することにある。

例えば、ハードウェアウォレットを紛失したり、パスワードを忘れたりしても、一部の情報が残っていれば復旧できる場合がある。ReWalletの共同創業者兼CTO、ブルーノ・クラウスは、ビットコインのBIP39シードフレーズは2048語の単語リストを基に構成されているため、多くの単語を覚えていれば、残りの候補を機械的に検証できると説明した。

パスワードでも事情は同じだ。ReWalletは過去に、欠陥のあるパスワード生成ツールをリバースエンジニアリングし、約300万ドル（約4億5000万円）相当の資産にアクセスするための20桁のパスワードを復旧した事例を紹介している。

手掛かりになるのは、技術情報だけではない。復旧業者は、顧客の好物やよく行く場所、子どもの名前、誕生日といった個人情報を基に、過去のパスワード作成ルールを推定することもある。ある顧客は子どもの名前を使ったと記憶していたが、実際のパスワードは地元の配送サービスの電話番号だったケースもあったという。

特にパスフレーズは、ウォレット復旧をさらに難しくする要因になり得る。セキュリティ教育者のトム・ベネットは、正しいシードフレーズを入力しても、誤ったパスフレーズを入力すると、エラーメッセージではなく別の有効なウォレットが開く可能性があると説明した。これが、ユーザーが「資産が消えた」と誤認する原因になり得るという。

もちろん、復旧が不可能なケースもある。ビットコインのウォレットには、銀行のように本人確認を経て口座を回復させる中央管理者は存在しない。

Trezorのビットコイン分析担当、リュシアン・ブルドンは、ウォレットのバックアップを失い、秘密鍵を含むウォレット本体にもアクセスできない場合、どの復旧業者でも対応は不可能だと警告する。正規に生成されたシードフレーズや秘密鍵が完全に失われた場合、組み合わせの総数が膨大なため、無作為な推測で復元するのは事実上不可能だとしている。

一方で、ユーザー自身が管理するウォレットに資産を誤送金したケースでは、取り戻せる余地がある。例えば、BNBを誤ってイーサリアムネットワークに送った場合でも、送付先ウォレットにアクセスできれば、資産を回収できる可能性がある。

復旧業者の選定にも注意が必要だ。ウォレットのシードフレーズや秘密鍵は、一般的なパスワードのように後から変更できない。復旧に必要なバックアップ情報を業者に渡した時点で、その情報は資金の支配権に直結し得る。

業界では、WhatsAppなど特定のメッセンジャーへの誘導、個人のGmailアカウントでのやり取りの要求、前払いの請求、特定の取引所アカウントの新規開設要求といった対応には警戒すべきだとされる。復旧額の一定割合を成功報酬として受け取る方式自体は一般的だが、前金を求めながら無条件で復旧を保証するような業者は危険信号だという。

Crypto Asset Recoveryはこれまでに、約1500人の顧客から委託を受けた3000件超のウォレットのロック解除に対応し、このうち約63％でパスワードを復旧したと公表している。ただし、復旧に成功したウォレットのすべてが多額の資産を保有していたわけではない。

全依頼の約71％は残高が100ドル未満で、同社はこの水準以下の案件については手数料を受け取っていないとしている。

同社は5000BTCの事例以降、機微情報を扱うために現地を直接訪問する方式も取りやめた。現在は、センシティブなウォレット情報を自動化された分離システムで遠隔処理しているという。

結局のところ、暗号資産復旧で最初に確認すべきなのは「どう探すか」ではない。対象ウォレットに実際に資産があるのか、そしてアクセスに必要な最小限のシード情報やパスワード、バックアップ情報が残っているのかを見極めることが先決だ。ブロックチェーンには、銀行のように最後に介入して資産を戻す中央管理者は存在しない。