TOPPANホールディングスは11月12日、TOPPANとBitGoがデジタル資産を安全に管理する「分散鍵管理スキーム」の実証実験を実施したと発表した。
顧客、TOPPAN、BitGoの3者で秘密鍵を分散管理する仕組みと、法人の身元や権限を確認する「vLEI」を組み合わせた。単一障害点（SPOF：Single Point of Failure）の低減や不正取引の防止、障害発生時の事業継続性などを検証。実証実験は2026年8月から10月にかけて実施した。
秘密鍵を顧客、TOPPAN、BitGoの3者で分散管理
デジタル資産の活用が国内外で広がる一方、管理体制の脆弱性を狙った不正流出やサイバー攻撃が課題となっている。AIの悪用による攻撃の高度化や多様化も進んでいるという。組織内部の不正防止や、取引相手の身元確認を含むガバナンス体制の強化も求められている。
しかし、高度な秘密鍵の管理環境や法人認証体制を自社で構築し、維持するにはコストと専門的なノウハウが必要となる。TOPPANとBitGoによると、こうしたハードルが地方銀行や自治体、事業会社によるデジタル資産分野への参入を難しくする一因になっているという。
今回の実証では、TOPPANがカード発行事業で培った秘密鍵の管理環境や運用ノウハウと、BitGoのデジタル資産管理技術を組み合わせた。
具体的には、取引を実行する「顧客」がメイン署名を担う。BitGoは、顧客による単独実行を防ぐ対向署名を担当。TOPPANは、高度なセキュリティ環境でバックアップ鍵を保管する。
この3者に署名権限や鍵を分散することで、1者のアクセス権限や管理環境が侵害された場合でも、他の鍵による承認なしに取引が成立しない仕組みとした。秘密鍵を1者で管理する場合に比べ、サイバー攻撃や障害によるリスクを分散する狙いがある。
vLEIを組み合わせ、取引時の法人確認を強化
実証では、TOPPANのグローバル法人デジタル証明書vLEI発行サービス「vLEI-Gateway」との連携も検証した。
vLEIは、国際規格「ISO 17442-3:2024」に基づく法人ID「LEI（Legal Entity Identifier）」と、検証可能な資格証明を組み合わせたデジタル証明書である。法人や、その法人に所属する個人の身元を証明するために利用する。
今回のスキームでは、デジタル資産の移動先をホワイトリストへ登録する際や取引を実行する際に、vLEIを使って対象法人と法人担当者の身元や権限を確認。これにより、取引相手の実在性や権限を確認する仕組みを構築した。なりすましや不正なアドレスへの資産移転、内部での権限乱用といったリスクの軽減につなげる。
1つの鍵が利用できない状況でも資産移転が可能
実証実験では、3者分散管理に対応したウォレットの構築に加え、「vLEI-Gateway」とのシステム連携を実施。秘密鍵を安全に保管する体制と、vLEIを利用した法人検証プロセスも構築した。
通常時の検証では、ホワイトリスト登録時の法人確認と、構築したウォレットを利用したデジタル資産の移転をテストした。その結果、規定の多重承認フローと法人検証を経て、デジタル資産を移動できることを確認したという。
さらに、3つの鍵のうち1つを紛失したり、利用できなくなったりする状況を想定した障害試験も実施した。
3つに分散した秘密鍵のうち2つを利用することで、1つの鍵が利用できない場合でもデジタル資産を安全に移動・保護できることを確認。これにより、両社は事業継続性の実効性を検証したとしている。
TOPPANが管理するバックアップ鍵は、HSM（Hardware Security Module）などの安全な環境で保管する。HSMは暗号鍵の生成や保管、処理を安全に行うための専用セキュリティ機器だ。
2028年のサービス提供開始を目指す
TOPPANとBitGoは今回の結果を踏まえ、「分散鍵管理スキーム」の運用オペレーションを高度化する。2028年のサービス提供開始を目指す方針だ。
提供先としては、秘密鍵の管理やコンプライアンス対応に課題を持つ地方銀行、自治体、事業会社などを想定しているという。
