セルフカストディのバックアップ：紙・金属・Shamir のどれか

シードフレーズはよく「ウォレットのバックアップ」と呼ばれます。そうではありません。128 か 256 ビットを、人間が手で写せる文字表に置き換えたもので、あなたの鍵とアドレスはすべて、互換端末なら誰でも再計算できるそのビット列への算術です。人は言葉を秘密として守り（正しい）、同時に仕様書でもあることを忘れます（致命的）。以下では、言葉が何を符号化するか、チェックサムが実際に何を捕まえるか、バックアップが壊れる三つの型、そして今夜やるべき復元ドリルを扱います。

言葉が符号化しているもの。BIP39 は 2,048 語・1 語 11 ビットです。公式英語リストを確認すると、2,048 件が重複なく昇順、4 文字前方一致もすべて異なります。だからウォレットは aband を abandon に補完します。12 語は 132 ビット（128 のエントロピー＋4 のチェックサム）、24 語は 264（256＋8）。フレーズに他の情報は入りません。ウォレット名も派生パスもネットワークも含みません。Monero は別ルートで、リストは 1,626 語、3 文字前方一致もすべて異なります。エンコーダは 4 バイトを 3 語に変えます。リトルエンディアンの uint32 値 v に対し、v mod 1626、(v div 1626 + 前の語) mod 1626、(v div 1626² + 前の語) mod 1626——electrum-words.cpp のループです。32 バイトのスペンド鍵は 24 語になり、25 語目はリスト全体のチェックサムではなく seed[crc32(24 個の前方一致) mod 24]、つまり常に自分の 24 語のどれかです。

チェックサムが実際に捕まえるもの。各長さで 1 語だけ誤記したケースを 2 万回シミュレーションし、実際の検証規則を当てました。BIP39 の 12 語は 6.35% が通り（理論は 1/16）、24 語は 0.395% で 1/256 近く。Monero の 25 語は 4.2% が通りました。これはバグではなく構造です。索引が crc32 mod 24 なので、触っていない語に落ちれば比較は構成上必ず成功し、確率は 1/24、残りは偶然です。裏返せば、Monero は 25 回に 1 回、12 語 BIP39 は 16 回に 1 回、誤記がすり抜けます。ウォレットが受け付けたのは綴りの証拠で、完全性の証拠ではありません。チェックサムは意味に意見を持たず、手元の写しが内部的に整合していれば、5 番目が別の語であるべきだったとしても完璧に通ります。本当の問いに答えるのは、既知のアドレスを再現する復元だけです。

バックアップが壊れる三つの型。一つ目はパスフレーズです。BIP39 のパスフレーズはフレーズ内に保存されず、そこから導出もされないので、別の値を入れれば、まったく別の、完全に有効な、空のウォレットがエラーなしで現れます。同じ 24 語と異なるパスフレーズを持つ二人は無関係な二つのウォレットを持ち、語からどちらが意図かは分かりません。二つ目は冗長性のない単一コピーです。火災、水害、引っ越し、空港に置いた鞄、引き出しを片付ける相続人。シードには問い合わせ窓口がありません。三つ目はデジタルコピーです。同期する gallery の写真、同期ノートの一行、スプールに残った印刷、チャットのスクリーンショット。長期で最も重い失敗で、シードは失効できません。露出後の唯一の対処は新しいシードと資金移動で、代価は設定ではなく手数料と時間です。

媒体の選び方。紙は安く確認も簡単ですが、水・火・取り扱いに弱く、インクは紫外線で褪せます。打刻した金属は火と水に数十年耐えますが、発見されることには無力です。引き出しのプレートは来客が読めるプレートです。24 語を二分割して別々に置くのは暗号学的に妥当で、欠けた半分は 132 ビットの未知を残しますが、語順が残り、復元する人がもう半分の存在を知っている場合に限ります。パスワードマネージャ内の暗号化ファイルは、物理リスクをリモートリスクとマスターパスワード失念のリスクに交換します。ロックアウトされたアカウントは火災と同じくらい最終的です。媒体より上位のルールが一つ：パスフレーズは語と一緒に持ち歩かないこと。

Shamir と SLIP-39。SLIP-39 は GF(256) 上でバイト単位に Shamir を適用し、各シェアを 1,024 語リスト・1 語 10 ビットのニーモニックに符号化します。128 ビットの秘密は 1 シェア 20 語、256 ビットは 33 語。同じ秘密のシェアは最初の 2 語、同じグループのシェアは最初の 3 語が一致するので、セットは目で仕分けできます——拾った人にも。各シェア内の 4 バイト HMAC-SHA256 ダイジェストにより、不足や不整合のセットは誤ったウォレットを作らず中断します。素朴な分割にない性質です。代価は、シェアと別の場所にしきい値を記録すること、そして多くのウォレットが実装していない復元経路。幾何学の罠も：2-of-3 で 2 シェアを同じ場所に置けば、書類が増えた 1-of-1 です。

復元ドリル。今日使っている受取アドレスと、二つ目の派生アドレス——Monero のサブアドレスかビットコインの二つ目のアカウント——を控えます。派生パスの誤りが偶然の一致で隠れないようにするためです。控え（稼働端末ではなく）をオフラインの予備機へ。語は貼り付けず手入力します。緊張下の人間に読める転記かの試験にもなります。アドレスを 1 文字ずつ比較します。Monero は復元高を最初の取引以前に設定してください。高すぎると履歴を静かに落とし、低すぎるとジェネシスから数時間走査します。少額を入れて復元ウォレットから出金し、予備機を消去し、封筒に日付を書きます。最後のファーム更新以降テストしていないバックアップは保険ではなく仮説です。

実際のスワップとの接点。注文フォームは支払先アドレスと任意の返金先アドレスを求め、注文作成エンドポイントは資産コード・金額・アドレス長（256 文字）を検証して他は保存しません。メールもアカウントも、リセットできるパスワードもありません。意図的であり、復元の負担をすべてあなた側へ移します。シードが失われれば、チケットも異議も支払先アドレスの背後の鍵を再構成しません。時間も同じくらい容赦なく、注文は作成から 30 分支払可能、ローカル失効後 6 時間は遅延入金を追跡し、24 時間で閉じます。制御できないアドレスに着地した資金は消えずチェーン上に丸見えで存在しますが、使えず、あなたの立場では消失と区別がつきません。

執筆時点の数字。2026-10-26 18:05 UTC 頃、100 USDT-TRC20 は 0.14772457 XMR、500 は 0.81018058、1,000 は 1.63812328、5,000 は 8.26013651。1 XMR あたり 676.9、617.1、610.4、605.3 USDT で、この差は価格変動ではなく注文ごとの下限によるものです。10 LTC は 0.93171887 XMR、1 XMR は 10.21937454 LTC、0.001 BTC は 0.12310131 XMR、ペア下限は 19.704235 USDT。一つのスナップショットにすぎず、行動の根拠はページのライブ見積りです。スワップは一度きりの受け渡しで支払いは一度だけ着地し、昨年テストしたシードだけが、その支払いと気まずい一週間の間に立っています。 (XMR→USDT 出口ルート)

繰り返し現れる誤り。パスフレーズを語と同じプレートに書く、あるいはどこにも書かない。資金到着後に初めて復元を試す。取引所の入金アドレスを返金先に使う——あなたのものではなく、返金は同一ネットワーク・同一資産にしか戻りません。同期する gallery のシード写真。電話のウォレットと、冷たいはずのウォレットが一つのシードを共有する。チェックサムを通れば良い写しという思い込み。方式・しきい値・派生パスの記録がないこと。3-of-5 が相続人に無価値になる経路はそこです。バックアップは外注も事後検証もできない唯一の部分なので、作業は小さく済みます。二つのアドレスを書き、引き出しの控えから復元し、文字を比較し、少額を動かす。一致すれば、まだ安いうちに確信を買ったことになります。