何よりもまず、自分がどんな種類のアカウントを作ろうとしているのかを理解しましょう。Upbitはカストディアル型です。銀行が現金を預かるように、Upbitがあなたの秘密鍵を保管します。ユーザー名・パスワード・2FAこそが、攻撃者とUpbitが代理で保管する資産との間に立つ唯一の壁です。だからこそ、ログインそのものが価値の高い標的になります。セルフカストディ型ウォレット（MetaMaskやハードウェアウォレット）はその逆で、あなた自身がシードフレーズを保有し、どのサポート窓口もそれをリセットすることはできません。Upbitの場合、サポートが復旧を手助けできます。ただし、最初にアカウントを正しく設定しておいた場合に限ります。
Upbitアカウントの作成手順
登録は無料です。手間がかかるのは登録フォームそのものではなく、その後に続く本人確認です。必ず公式サイトから始めてください。メールや広告のリンクをクリックするのではなく、upbit.comを自分で入力するかブックマークしておきましょう。
公式サイトまたはアプリを開く
upbit.comに直接アクセスするか、Apple App StoreまたはGoogle Playからアプリをインストールします。インストール前に開発者名（Dunamu）を確認してください。偽のクローンアプリが存在します。
メールまたは連携アカウントで登録する
メールアドレス（対応している地域ではKakaoやAppleの連携アカウント）を入力し、パスワードを作成します。これまでどこでも使ったことのない固有のパスワードを使ってください。
メールアドレスを確認する
Upbitから届く確認リンクをクリックします。数分経っても届かない場合は迷惑メールフォルダを確認してください。新しいリンクを大量に再送信しないように。一時的な制限がかかる原因になります。
二段階認証を設定する
入金する前に、すぐに設定してください。SMSよりも認証アプリの利用を強くおすすめします（下記の専用セクションを参照）。
本人確認（KYC）を完了する
必要書類を提出します。これが完了するまでアカウントは制限され、実質的に自由な出金ができません。
必要に応じて銀行・決済方法を連携する
KRW（韓国ウォン）入金の場合、韓国のユーザーは実名確認済みの銀行口座を連携します。利用できる入金経路は地域によって大きく異なります。
地域による違いの確認
Upbitの全機能、特に実名確認済み銀行口座によるKRW入金は、韓国市場を中心に設計されています。アクセス可否、利用できる市場、入金方法は国によって異なり、変更される可能性があります。お住まいの法域での最新の利用可否は、必ず公式サイト（upbit.com）で確認してください。
本人確認（KYC）：何が求められるか
KYC（顧客確認）は形だけの手続きではなく、規制を受けた取引所にとっての法的要件です。マネーロンダリング対策のルールや、一定額以上の送金について送金者・受取人の情報を取引所間で共有させるトラベルルールと結びついています。2026年にはこれがさらに厳格化しており、欧州のMiCAのような枠組みや、世界的なステーブルコイン規制・トラベルルールの厳格な運用が進んでいます。
通常必要となる書類
- 政府発行の写真付き身分証明書（パスポート、国民IDカード、運転免許証など）。
- その身分証が本人のものであることを証明する自撮り写真、またはライブの「生体（liveness）」確認。
- 韓国のユーザーの場合：本人名義で実名確認された銀行口座と、本人に紐づいた電話番号。
- ティアや地域によっては、住所証明書が必要な場合もあります。
未確認アカウントでの出金の実態未確認のアカウントは実質的に閲覧専用の博物館です。公式サイトによれば、本人確認を完了していないアカウントには出金制限がかかります。見て回ることはできても、資産を外に移すことはKYCが完了するまで制限されます。完全に確認が済む前に大きな金額を入金しないでください。自分の都合のよいタイミングで引き出せない可能性があります。
確認は通常すぐに完了します。書類に問題がなければ数分から数時間程度です。ただし、取引が集中する時期や、写真がぼやけている・有効期限切れ・情報が一致しないといった場合はもっと時間がかかることがあります。明るい場所で、平らな面に置き、有効期限内の書類を使ってください。数値や処理時間はUpbitが設定するもので変更される可能性があるため、upbit.comを正式な情報源として扱ってください。
2FAを正しく有効化する（そしてなぜSMSが弱い選択肢なのか）
二段階認証は2つ目の鍵を追加し、パスワードを盗まれただけでは不十分にします。しかし、すべての2FAが同等というわけではありません。SMSコードはSIMスワップ攻撃によって傍受される恐れがあります。これは犯罪者が通信キャリアを言葉巧みに操り、あなたの電話番号を自分の端末に移転させる手口です。認証アプリ（Google Authenticator、Authy、Aegis）は、キャリアを一切介さずにあなたの端末上でコードを生成します。
認証アプリ
- SIMスワップ攻撃に強い
- オフラインで動作し、電波が不要
- コードがネットワーク上を一切通らない
- あらゆる本格的なセキュリティチームが推奨
SMSによる2FA
- SIMスワップ／番号移転に弱い
- 遅延したり届かないことがある
- 通信キャリアのセキュリティに依存する
- 何もないよりはましだが、最終手段と考えるべき
セキュリティ2FAは「あれば便利」なものではなく、玄関の鍵だと考えてください。資産を抜き取られるアカウントと、そうでないアカウントの最大の違いは、パスワードを推測した攻撃者がそれでも壁にぶつかるかどうかです。認証アプリを使い、設定を終える前にセットアップキーをオフラインでバックアップしておきましょう。
認証アプリによる2FAを有効化すると、UpbitはQRコードとシークレットのセットアップキーを表示します。QRをスキャンしたうえで、復旧用／セットアップ用のキーを安全なオフラインの場所に保存してください。
| 項目 | それが何か | すべきこと |
|---|---|---|
| QRコード | あなたの2FAシークレットを符号化したもの | 認証アプリに読み込ませる |
| セットアップキー／シークレットキー | 同じシークレットのテキスト版 | 紙に書き留めてオフラインで保管する |
| バックアップ／リカバリーコード | 一回限りの緊急ログイン用 | 印刷して、スマホとは別の場所に保管する |
| 6桁のコード | 約30秒ごとに更新される | 設定確認時に入力し、その後は毎回のログインで使用する |
アプリだけでなくシークレットをバックアップする
スマホを紛失し、セットアップキーやリカバリーコードを保存していなかった場合、アクセスを取り戻すにはサポート経由の本人確認による時間のかかる復旧手続きが必要になります。オフラインでシークレットキーを保存しておけば、危機的状況も新しい端末への5分の再登録で済みます。シードフレーズと同じように扱ってください。オフラインで保管し、スクリーンショットやクラウドメモには絶対に残さないこと。
本当に重要な、安全なログイン習慣
アカウント乗っ取りの大半は、暗号化を破ることからではなく、あなたを騙すことから始まります。いくつかの地味な習慣で、攻撃の大半を防げます。
- 公式URLをブックマークし、必ずそのブックマークからのみログインする。検索広告、メールのリンク、DMからは絶対にログインしない。
- 毎回アドレスバーを確認する。フィッシングサイトは、本物のログインページをピクセル単位で模倣した類似ドメイン（upb1t、up-bit-login、upbit-secureなど）を使います。
- パスワードを使い回さない。あるサイトが侵害されると、クレデンシャルスタッフィングのボットがその組み合わせをあらゆる場所、つまりあなたの取引所でも試します。
- パスワードマネージャーを使う（Bitwarden、1Passwordなど）。長くランダムなパスワードを生成し、重要なことに、偽ドメインでは自動入力を拒否します。組み込みのフィッシング警報になります。
- アンチフィッシングコードを設定する。Upbitが提供している場合は設定し、本物のメールに自分だけが知っているフレーズが付くようにします。
- 自分が管理する端末でログインする。公共のPCや共用PCは一切避けてください。
フィッシングの警告偽のUpbitログインページはいたるところにあり、巧妙です。クローンサイトはロゴ・レイアウト・ログインフォームをそっくりコピーでき、あなたが入力した瞬間にパスワードと2FAコードを盗み取ります。有効なコードを手に入れた瞬間、彼らはログインして数秒でアカウントを空にします。アドレスバーが唯一の信頼できる防御です。ドメインが公式のものと完全に一致していなければ、タブを閉じてください。本物のログインページが、シードフレーズや出金先アドレスを入力して「確認」するよう求めることは決してありません。
ログインの問題：こんなときどうする
…パスワードを忘れた
公式ログインページの「パスワードを忘れた」リンクのみを使ってください。リセットリンクがメールで届きます。2FAを有効にしている場合は認証アプリのコードも必要です。2FAのシークレットをバックアップしておくことが重要なのは、まさにこのためです。
…アカウントがロックされた
ログインの繰り返し失敗、不審なアクティビティ、セキュリティフラグによってアカウントがロックされることがあります。何度も試し続けないでください。ロックが延長される可能性があります。クールダウンが表示されている場合はそれが解けるのを待つか、サイトを通じて公式サポートに連絡してください。ロック解除の前に本人確認が行われるため、確認用の情報を手元に用意しておきましょう。
…2FAの端末を紛失した
セットアップキーやリカバリーコードを保存していれば、新しい認証アプリにシークレットを再登録するだけで元に戻れます。保存していなかった場合は、サポート経由でUpbitの本人確認による復旧手続きを進める必要があります。これは時間がかかり、意図的に厳格です。その厳しさこそが、攻撃者が同じ手口を使うのを防いでくれます。
…新しい端末からログインする
追加の確認ステップ、つまりメール確認、コード、端末承認のプロンプトなどが求められるでしょう。これは正常で望ましいことです。あなたのパスワードを知る他人でも、自分の端末からは入れないということを意味します。自分で行っていない「新しい端末からのログイン」アラートが届いたら、すぐにパスワードを変更し、セッションを確認してください。
あらゆる復旧における鉄則
Upbitサポートが、チャットやメールであなたの完全なパスワード、2FAシークレット、シードフレーズを尋ねることは決してありません。それを尋ねてくる者はなりすましです。本物の復旧は常に政府発行の身分証の確認によって進められ、あなたが秘密情報を渡すことによって行われることは決してありません。
ログイン後のアカウントの強固な防御
安全にログインできることは、仕事の半分にすぎません。残りの半分は、仮に誰かが侵入できたとしても、資産を動かせないようにしておくことです。
- 出金許可リスト（アドレスのホワイトリスト化）：資金の送付先となるウォレットアドレスだけを登録します。これを有効にすると、攻撃者は自分のアドレスを追加して即座に現金化することができません。新しいアドレスにはしばしば時間遅延が設けられます。
- 端末・セッション管理：ログイン中の端末とアクティブなセッションのリストを定期的に確認します。心当たりのないものはすべて無効化してください。
- 出金アラート：すべての出金とログインについてメール／プッシュ通知を有効にし、トラブルをリアルタイムで把握できるようにします。
- 取引所には取引する分だけを置く：長期保有の資産は、セルフカストディ（ハードウェアウォレット）に移してください。取引所では、秘密鍵を保有しているのはUpbitだということを忘れないように。
ネットワークの不一致＝資金の消失実際に出金を始める際は、送金ネットワークと受取ネットワークが一致していなければなりません。ERC-20トークンをTRC-20のアドレスに（あるいはその逆に）送ると、資金が永久に失われる可能性があり、どのサポート窓口も復旧できません。チェーンを二重確認し、まず少額のテスト送金を行い、クリップボードから貼り付けたアドレスは最初と最後の文字を確認せずに使わないでください。
資産の保管と移動についてさらに詳しくは、当サイトのUpbitウォレットガイドをご覧ください。主にスマホを使う方は、アプリガイドでモバイルのログインとセキュリティを解説しています。
よくある質問
保存済みのセットアップキーから2FAを再登録するのは一瞬で済みます。本人確認による完全な復旧（バックアップなしでの2FA紛失、アカウントのロックなど）は時間がかかり、数時間から数日に及びます。サポートが先に政府発行の身分証を確認しなければならないためです。所要時間はUpbitが設定するもので変更される可能性があるため、upbit.comで確認してください。
書類が鮮明で有効期限内であれば、数分から数時間程度で済むことが多いです。ただし、混雑時や写真がぼやけている・情報が一致しない場合はもっと長くかかることがあります。再提出を避けるため、明るい場所で有効な身分証を使ってください。
限られた形でのみ可能です。公式サイトによれば、未確認のアカウントには出金制限がかかります。実際には、本人確認が完了するまで自由に資産を外に移すことはできません。確認が済む前にまとまった資金を入金しないでください。
認証アプリです。SMSコードは、誰かがあなたの電話番号を乗っ取るSIMスワップ攻撃に弱いです。認証アプリはキャリアを介さずにあなたの端末上でコードを生成します。設定時にシークレットキーをオフラインでバックアップしておきましょう。
何かを入力する前に、アドレスバーが公式ドメインと完全に一致しているか確認してください。常に自分のブックマークからログインし、メールのリンクや広告からは決してログインしないこと。パスワードマネージャーも役立ちます。偽の類似ドメインでは自動入力を拒否します。
カストディアル型です。銀行があなたのお金を預かるように、Upbitがあなたの秘密鍵を保管します。そのため、ログインと2FAがあなたの資産を守るものになります。セルフカストディの場合は、自分でシードフレーズを保有し、誰もリセットできないハードウェアウォレットを使うことになります。