フィッシング、偽アプリ、悪意のある承認

暗号を破れない泥棒には、2つの方法があります。あなたのシードフレーズを手に入れるか、あなたのトークンを差し出す何かに署名させるかです。このレッスンでは、その両方を扱います。

1つ目の手口：シードフレーズ

フィッシングサイト。 ウォレットや取引所のサイトのコピーが、本物と1文字だけ違うウェブアドレスに置かれます。広告、メール、ダイレクトメッセージで宣伝され、シードフレーズを入力してウォレットを「復元」「確認」「同期」するよう求めてきます。

偽アプリ。 人気のウォレットをまねたアプリが、公式のアプリストアに入り込みます。2026年、KasperskyはAppleのApp Storeで26個を見つけました。利用者が入力した復元フレーズを読み取り、攻撃者に送っていました。

偽のサポート。 あなたの公開の質問に、誰かが個別メッセージと「サポートフォーム」へのリンクで答えてきます。

3つとも結末は同じです。あなたが単語を入力し、ウォレットが空にされます。レッスン23のルールで、すべて防げます。フレーズを入力するのは、公式の入手先からインストールしたソフトウェアで、自分でウォレットの復元を選んだときだけです。

2つ目の手口：あなたの署名

この手口にはシードフレーズが要りません。ハードウェアウォレットにも通用します。

イーサリアムのアプリでトークンを使うには、まず**承認（approval）**に署名します。これは、そのアプリのスマートコントラクトに、あなたのウォレットからそのトークンを動かす許可を与えるものです。承認が1回で済むよう、アプリは無制限の量を求めることがよくあります。

悪意のあるサイトは、これを悪用します。新しいプロジェクト、エアドロップ、受け取りページを装い、あなたがウォレットを接続して、いつもの手順に見えるものに署名するよう仕向けます。実際には攻撃者のコントラクトを承認しており、その種類のトークンがすべて持ち去られます。このために作られた道具はドレイナーと呼ばれます。Chainalysisは、これを「web3プロジェクトになりすます」サイトだと説明しています。

一例は2024年1月のものです。SEC自身のSNSアカウントが乗っ取られたあと、SECを装ったドレイナーが、ウォレットを接続して無料のトークンを受け取るよう人々を誘いました。

承認が本当に意味すること

• 取り消すまで続きます。そのアプリを使わなくなったあとでもです。
• サイトからウォレットの接続を切っても、取り消されません。
• 無制限とは、その種類のトークンすべてを意味します。あとから増えた分も含みます。
• 承認したコントラクトがハッキングされたり、悪意のあるものだとわかったりすれば、その許可が使われるおそれがあります。

対策

署名の前に手を止める。 ウォレットの表示を読みましょう。「approve」「permit」「set approval for all」と書かれていて、心当たりがなければ拒否します。

必要な分だけ承認する。 多くのウォレットでは、無制限の要求を、その取引に必要な量まで減らせます。

試し用に別のウォレットを使う。 新しいアプリを試したり何かを受け取ったりするのは、残高の少ないウォレットで行いましょう。資産は、サイトに一度も接続しないウォレットに置きます。

古い承認を取り消す。 ブロックエクスプローラーや専用ツールで、あなたのアドレスに与えられた承認を一覧にして取り消せます。取り消しは1回ごとに取引となり、手数料がかかります。年に何回か、そして後悔するものに署名したらすぐに行いましょう。

安全にたどり着く。 ブックマークを使いましょう。広告やメッセージのリンクはクリックしないこと。

タダのお金は無視する。 突然届いたトークン、申し込んでいないエアドロップ、「受け取り」の期限が迫っているという話は、どれもおとりです。

2つのルール

何かを直す、確認する、受け取るためにシードフレーズを入力してはいけません。説明できない取引に署名してはいけません。