EVM向けハードウェアウォレット5機種比較：署名表示・接続・復旧で選ぶ

ハードウェアウォレットを選ぶときは、「鍵が端末内にある」だけでなく、署名前に端末自身の画面で何を確認できるか、普段のphone・PCへどう接続するか、紛失時にどう復旧するかを先に決めます。高価な機種が全員にとって最適とは限りません。

この記事は、2026-08-31に公式販売を確認できたLedger Flex、Trezor Safe 5、Keystone 3 Pro、OneKey Pro、CoolWallet Proを、EVM利用者向けに比較します。対象は、software walletから署名鍵を分離したい人、mobile中心の人、QRによるair-gap運用をしたい人、EIP-712やapproveの確認範囲を重視する開発者です。

重要な制限があります。3MIKANは今回、5機種の実機を購入・貸与されていません。端末画面や接続時間を確認したreviewではなく、公式製品情報、公式support、公開source・changelogで購入候補を絞るための記事です。確認できなかった項目は「未確認」とし、実機結果や総合順位を作りません。

先に結論：機種名より4つの条件を決める

候補を一つに絞る前に、次の4問へ答えてください。

approveやEIP-712で、spender、amount、chain ID、verifying contract、deadlineまで端末上で確認したいか
接続はUSB-C、Bluetooth、QRのどれを許容するか
復旧は1つのBIP39 backup、SLIP39のmulti-share、専用backup cardのどれを運用できるか
firmwareの公開範囲、再現可能なビルド、Secure Elementの設計について、どのtrust boundaryを受け入れるか

「Bluetoothがある／ない」だけでは安全性は決まりません。通信経路が増えても、署名内容を独立した端末画面で検証できる設計なら、host側の表示をそのまま信じずに済みます。反対にair-gapでも、QRから読み込んだ内容を端末が十分に解析できなければblind signingは残ります。

hardware walletが守るもの／守らないもの

hardware walletの中心的な役割は、秘密鍵を通常のphone・PCから分離し、署名の最終確認を専用端末へ移すことです。software walletやdappが作ったrequestは、接続経路を通って端末へ届きます。そこでrecipient、amount、contract、method、typed dataを読み、意図と一致したときだけ物理操作で承認します。

一方、次は自動では守られません。

recovery phraseやpassphraseを偽siteへ入力した
正しい端末画面を読まずにapproveした
blind-signing warningを無視した
attackerのaddressを自分のrecipientと思い込んだ
すでに漏れたseedを新しい端末へimportした
malicious contractの動作を、method名だけで安全と判断した

署名requestのmethod、origin / domain、account、chain、contract、spender、amount、nonce、deadlineを読む順序は危険な署名要求を見分ける確認項目で整理しています。hardware walletはこの確認を強くできますが、確認そのものを代行する装置ではありません。

比較methodと商業関係

比較対象は、各brandの公式storeで販売中と確認でき、EthereumまたはEVM利用を公式に案内している1機種です。価格、在庫、配送地域は変わるため本文へ固定しません。購入直前に公式storeとauthorized reseller policyを再確認してください。

証拠は次の3段階に分けました。

公式説明：製品ページ、support、changelogでvendorが説明している
公開source：関連firmwareやappのsource、release履歴を公開repositoryで読める
実機未確認：3MIKANの物理端末で同一requestを表示していない

5機種とも購入、貸与、review unit、sponsor提供はありません。この記事にaffiliate linkはなく、掲載順、選択条件、将来のscoreにcommissionを含めません。

5機種の公式仕様比較

表は2026-08-31に公式情報で確認した範囲です。「EIP-712あり」は、すべてのdapp・wallet・messageが全field表示される意味ではありません。host wallet、firmware、device app、message構造、descriptor対応で表示は変わります。

model	trusted displayの公式説明	主な接続	backup / recovery	source公開範囲	EVM署名の証拠状態
Ledger Flex	2.84-inch E Ink touchscreen、Secure Elementから制御	USB-C / Bluetooth / 一部NFC	24-word phrase、Recovery Key、任意の別service	app・SDK・一部OSは公開、SE低levelは非公開	EIP-712とclear/blind signingの公式資料あり、実機未確認
Trezor Safe 5	1.54-inch color touchscreen、haptic、on-device entry	USB-C	SLIP39 single/multi-share、BIP39 12/24、passphrase	firmware・設計を広く公開	EIP-712・approve表示のchangelogあり、実機未確認
Keystone 3 Pro	4-inch color touchscreen、full displayの公式説明	QR air-gap / USB-C / microSD update	BIP39、SLIP39、passphrase、複数seed	Keystone 3 firmware公開	EIP-712 parsingのchangelogあり、実機未確認
OneKey Pro	3.5-inch color touchscreen、clear-signingの公式説明	USB-C / Bluetooth / QR / NFC	BIP39、SLIP39、passphrase、OneKey Lite	app・firmware公開、再現可能なビルドの公式説明	typed data・approve改善のchangelogあり、実機未確認
CoolWallet Pro	card型displayと物理buttonの公式説明	encrypted Bluetooth / companion app / WalletConnect	BIP39互換12/18/24 words	SE firmware公開の公式説明	Ethereum対応は確認、EIP-712・approveの端末fieldは未確認

画面の大きさは、長いaddressやtyped dataを読みやすくする一要素です。ただし大画面でも、device appがfieldを解析せずhashだけを出すrequestは十分に読めません。小型画面でもpage送りですべての重要fieldへ到達できる場合があります。寸法だけで署名安全性を採点しないでください。

Ledger Flex：phoneとdesktopを跨ぐ候補

Ledger Flex公式ページは、2.84-inch、480×600、16階調E Ink touchscreen、USB-C、Bluetooth、NFC、Secure Elementを案内しています。official design guidelineでは、解析済みのtransactionとblind signingを分け、解析できないrequestではwarningと明示的な設定を要求しています。

LedgerはEIP-712のnative supportを説明しています。ただしclear signingの可否は、Ledger側device appだけでなく、接続するwalletやdapp、対象protocolのdescriptorにも依存します。「Ledgerだから常にすべて読める」とは判断できません。

sourceはall-or-nothingではありません。Ledger Wallet、SDK、embedded app、一部OSはreview可能ですが、Secure Elementとやり取りするlow-level codeには非公開部分があります。このboundaryを許容し、mobileとdesktopを同じ端末で使いたい人の候補です。完全公開を必須条件にする人、Bluetoothを運用から除外したい人は別候補と比較します。

Trezor Safe 5：USB-Cと標準backupを重視する候補

Trezor Safe 5公式ページは、1.54-inch color touchscreen、haptic feedback、USB-C、EAL6+ Secure Element、open-source security and designを案内しています。初期状態ではfirmwareを入れずに出荷し、Trezor Suiteでofficial firmwareとdevice authenticityを確認する手順です。

backupはSLIP39 20-word single-shareを標準にし、multi-shareへ移行できます。BIP39 12/24 wordsとpassphraseにも対応します。shareを複数拠点へ分ける運用を実際に維持できる人には選択肢が広い一方、share数・threshold・passphraseを複雑にしすぎると自分が復旧できないriskも増えます。

公開firmware changelogにはEIP-712 signingやETH approve表示の改善が記録されています。これは対応の証拠ですが、今回の共通検証項目で全fieldを実機確認した結果ではありません。接続をUSB-Cに限定したいdesktop中心・Android併用の候補です。iOSだけでsetup・send・device管理まで完結したい場合は、公式のiOS制限を先に確認してください。

Keystone 3 Pro：QR air-gapを運用できる人の候補

Keystone 3 Pro公式ページは、4-inch touchscreen、QR air-gap、3つのSecure Element、open-source firmware、Shamir backup、passphraseを案内しています。MetaMaskやOKX等とのEVM連携も公式に説明されています。

QR方式では、online walletがunsigned requestを表示し、Keystoneがcameraで読み取って端末内で確認・署名し、signed payloadをQRで戻します。BluetoothやUSB data connectionを運用から外せますが、cameraで読んだrequestのfieldをdevice側で解析できることが前提です。

firmware changelogにはEIP-712 parsing、EVM transaction parsing、ERC-20表示の改善が記録されています。最新firmware pageでは2026-08-12付のmulti-coin 3.0.4が掲載されていました。QR往復、firmware checksum、microSD、battery、backup shareを管理できる人向けです。小さく持ち歩きたい人や、QR scanを毎回行いたくない人には手順が重くなります。

OneKey Pro：接続方式を切り替えたい人の候補

OneKey Pro公式ページは、3.5-inch touchscreen、USB-C、Bluetooth、QR、NFC、4つのEAL6+ Secure Element、open-source firmwareを案内しています。AirGap Modeを有効にするとUSB・Bluetooth・NFCのdata transferを止め、QRだけを使う公式手順があります。

firmware update logでは、4.15.0でApprove等のtransaction parsing、4.20.0でEIP712-Domainがないtyped data表示の修正が記録されています。checkedAt時点の掲載最新system firmwareは4.21.0でした。update履歴が具体的であることと、すべてのrequestが意図どおり表示されることは別なので、購入後に共通検証手順を再実行します。

mobile・desktop・QRを一台で切り替えたい人の候補です。反対に、接続方式を一つに固定してattack surfaceと操作手順を最小化したい人は、不要なinterfaceを無効にできるか、設定がupdate後も維持されるかを実機で確認します。

CoolWallet Pro：card型とmobile運用を優先する候補

CoolWallet Pro公式ページは、credit-card size、CC EAL6+ Secure Element、encrypted Bluetooth、display、physical button、Android / iOS companion appを案内しています。12/18/24-wordのBIP39互換backupを作成でき、card上の数字をBIP39 wordへ対応させる方式も公式supportにあります。

WalletConnectとMetaMask連携は公式手順がありますが、CoolWallet Pro本体でEIP-712のdomain、verifying contract、spender、amount、nonce、deadlineがどこまで表示されるかを示す十分に具体的な一次情報は、今回の調査では確認できませんでした。この欄は「非対応」ではなく「未確認」です。

薄いcard型でmobile中心に使いたい人の候補です。typed dataや複雑なcontract callを頻繁に扱う開発者は、購入前にofficial supportへ対象requestの表示範囲を確認し、購入後は少額で、ローカル環境かテストネットの共通検証手順を試してから運用します。

同じ手順で確認する5つのrequest

製品説明を並べるだけでは、実際の署名表示差は分かりません。そこで、物理端末を確保したときに全機種へ同じrequestを渡す公開比較データを用意しました。

この比較データはchain ID 31337のlocal request dataだけを持ち、既存wallet、実資産、mainnet送信、secret、seed、private keyを含みません。今は全5機種がnot_run_no_deviceです。

case	端末で確認したいfield	見えない場合の判断
receive address	address全体	host画面だけを信じず中止
native transfer	recipient、amount、chain、fee	別chain・別recipientを除外できなければ中止
ERC-20 transfer	token contractまたは独立確認済みidentity、recipient、amount	symbolだけならcontractとdecimalsを別確認
ERC-20 approve	token、spender、allowance、unlimited warning	spenderまたはamountが見えなければ中止
EIP-712 Permit	primary type、domain、chain ID、verifying contract、owner、spender、value、nonce、deadline	hidden fieldがあればblind signingとして中止

EIP-712はtyped structured dataをhash・署名する規格です。規格にはdomainのname、version、chainId、verifyingContract等がありますが、walletがすべてを読みやすく表示することまで自動保証しません。firmware、device app、host walletを一組として確認します。

scoreは実機結果が揃うまで付けない

比較scoreの式は先に固定し、commissionを0にしました。

総合点 = Σ（各軸0〜5点 ÷ 5 × weight）

trusted display・署名field 30
backup / recovery             20
connection fit               20
source / verification scope  15
wallet / EVM integration     10
firmware update evidence      5
commission                    0

ただし、全5つの共通検証項目を物理端末で実行し、redaction済みcaptureをreviewするまでscore対象外です。現時点では全機種N/Aです。数値を埋めるためにvendor claimを実機点へ変換しません。

seedやpassphraseをconnected hostへ露出する、独立したon-device confirmationがない、必要chain・walletが非対応、official supportが終了、重要caseがblind signingから抜けられない場合はscore計算前に除外します。

use case別の候補の絞り方

mobileとdesktopを頻繁に切り替える

Ledger FlexとOneKey Proは、公式仕様上USB-Cとwireless connectionを持ちます。CoolWallet Proはmobile companion app中心です。wirelessの有無より、pairing、firmware update、接続解除、端末画面のfieldを自分が毎回確認できるかで選びます。

USB-Cだけで運用したい

Trezor Safe 5は接続要件が明確です。Ledger FlexやOneKey Proでも不要interfaceを使わない運用は考えられますが、設定で無効化できる範囲とupdate後の状態を実機確認します。

QR air-gapを優先する

Keystone 3 ProとOneKey Proが公式にQR workflowを案内しています。air-gapは「安全」というbadgeではなく、unsigned request → device decode → physical confirmation → signed payloadという手順です。QRの枚数、large payload、camera、battery、companion wallet compatibilityも日常運用の一部です。

EIP-712・approveを頻繁に扱う

公式changelogでtyped dataとapproveの表示改善を追えるLedger、Trezor、Keystone、OneKeyを候補にし、実機の共通検証手順でfieldを確認します。CoolWallet Proは具体的表示範囲を確認できるまで保留です。どの機種でもblind-signing warningが出たrequestは、別機種なら安全だと推測せず、request自体を止めます。

backupを複数拠点へ分ける

SLIP39 multi-shareを標準的に扱いたい場合はTrezor Safe 5、Keystone 3 Pro、OneKey Proの公式手順を比較します。BIP39を複数断片へ自己流で切り分ける方法は使いません。相続、災害、紛失、passphrase忘れを含め、自分以外でも復旧手順を誤解しない設計にします。

購入後の初日に行うこと

公式storeまたはauthorized resellerを使い、model、配送地域、返品・warrantyを再確認する
package、tamper-evident seal、同梱物を公式手順と照合する
recovery cardに事前印刷済みwordがあれば使用を止める
official app・firmwareの配布元、signature、checksum、device authenticityを確認する
新しいbackupは端末自身で生成し、camera、cloud、clipboard、password managerへ保存しない
backup checkまたはdry-run recoveryを行い、passphrase walletならaddressも記録する
receive addressを端末画面と照合し、local/testnetまたは損失許容範囲の少額から始める
transfer、approve、EIP-712の共通検証手順を実行し、見えないfieldがあるrequestは運用対象から外す

software walletで接続解除しても、過去のtoken allowance、Permit2 record、server session、session key、EIP-7702 delegationは同時に消えません。dapp権限を層ごとに解除する手順で、wallet connectionとon-chain stateを分けて確認できます。

既存seedの漏えいが疑われる場合、新しいhardware walletへ同じseedをimportしても漏えいは消えません。追加署名を止め、証拠を保存し、wallet・protocol・取引所の公式窓口へ相談してください。

更新期限と未確認事項

製品lineup、firmware、wallet integration、配送地域、warranty、affiliate programは変わります。この記事は2026-11-30までに再確認し、official storeの販売状態、最新firmware、EIP-712・approve表示、support終了、link切れを見直します。

実機を確保した場合は、modelごとに購入・貸与・review unitの関係、firmware、companion app、OS、browser、wallet extension、確認日を固定します。factory resetした記事専用test accountだけを使い、serial、QR、recovery情報を撮影しません。vendor claim、公開source、実機captureを同じstatusへ混ぜません。

まとめ

hardware walletの比較は、単一の「一番安全」では終わりません。端末画面で読むfield、connection、backup、firmware、source公開範囲、利用walletを、自分の運用へ合わせて選びます。

現段階の5機種は公式仕様から候補を絞るための比較であり、実機順位ではありません。購入後は同じ検証手順を使い、recipient、amount、contract、spender、EIP-712 domainを端末上で確認できることを確かめてから、本番資産の運用へ進んでください。