トークン承認エクスプロイト：詐欺師がWeb3ウォレットを枯渇させる仕組み

主な手口

• • 欺瞞的なdAppインターフェースを使用したフィッシング：詐欺師は正当なプラットフォーム（OpenSea、Uniswap、Aave）を模倣した偽の分散型アプリケーションを作成しますが、ユーザーを悪意のあるスマートコントラクトにリダイレクトし、要求された関数を実行する代わりにトークン承認をリクエストします。
• • Discord/Telegramを介したソーシャルエンジニアリング：攻撃者はWeb3コミュニティサーバーに偽のリンクを投稿し、排他的なNFTドロップ、ガバナンスエアドロップ、またはイールドファーミングの機会を装い、ウォレット接続とトークン承認が必要だと主張します。
• • 侵害されたウォレットブラウザ拡張機能：悪意のあるChromeまたはFirefox拡張機能がMetaMaskまたはウォレット管理ツールとして偽装し、ユーザーの知識なしに正当なdApp相互作用に偽の承認リクエストを注入します。
• • 承認メカニズムに関するユーザーの混乱を悪用：詐欺師は、ほとんどのユーザーがトランザクション承認（単一のアクションへの署名）とトークン承認（無制限の将来のアクセスを付与）の違いを理解していないという事実を活用し、リクエストに本物らしい技術言語を埋め込みます。
• • NFRレアリティフィッシングキャンペーン：攻撃者は偽のNFT取引プラットフォームまたはローンチパッドを作成し、レアコレクションを提供し、ユーザーにトークンを承認してクレームまたは入札を行わせてから、承認直後にウォレットを枯渇させます。
• • 誤解を招くUI/UX操作：詐欺dAppは曖昧なトランザクション説明（「スワップを確認」、「取引を有効化」）を表示しながら実際の承認額を隠し、多くの場合、コード内に無制限の許可額（type(uint256).max）を設定します。

見分け方

• 特定のトークンの承認を要求されていますが、dAppは無関連のサービスを提供していると主張しています（例えば、保有していないガバナンストークンの承認をリクエストするNFTミント）。
• 承認リクエストに異常に高い、または「無制限」の許可額が表示されています（トランザクション詳細で非常に大きな数字またはMAXとして表示）。
• トランザクションURLまたはdAppドメインが正当なバージョンと比べてわずかに綴り間違えられています（例：「uniswap.org」ではなく「uniswapp.org」）。
• トランザクション確認画面に、何を承認しているのか、または意図したアクションと一致しているのかが明確に記載されていません。
• 明示的に転送していないトークンに対してウォレット残高が急激に減少しており、多くの場合、ウォレット履歴を確認して開始していないトランザクションを見た時に気付きます。
• 正当なdAppまたはウォレットが何度も同じトークンの再承認をリクエストしており、これは許可額が完全に使い果たされない限り必要となるべきではありません。

身を守る方法

• ソーシャルメディア、Discord、またはメールのリンクをクリックする代わりに、ブラウザに直接入力してdAppドメインを常に検証してください。Revoke.cashなどのブロックチェーンドメイン検証ツールを使用してURLをダブルチェックしてください。
• Revoke.cashまたはEtherscanの承認タブなどのトークン承認監視サービスを使用して、ウォレット内のすべてのアクティブなトークン承認を定期的に監査し、使用しなくなったサービスの権限を取り消してください。
• 単一のトランザクションに必要な特定の金額のみを承認してください。無制限の許可ではなく、ほとんどの正当なdAppはユーザーがカスタム承認額を入力できるようにしています。
• TenderlyやEtherscanのシミュレーション機能などのトランザクションシミュレーションツールを有効にして、署名前に何が起こるか（どのトークンが移動し、どこに移動するか）を正確に確認してください。
• 積極的に取引していないトークンを別個のコールドストレージウォレット（LedgerやTrezorなどのハードウェアウォレット）に保管し、dAppに接続しないようにして、高価値資産への露出を隔離してください。
• 「レイヤード化されたウォレット」戦略を実践してください。小額のdApp相互作用とテストに使用するウォレットを使用し、長期保有用の別個のセキュアなウォレットを維持し、侵害されたアドレスからの潜在的な損失を削減してください。

実例

よくある質問

通報窓口 — 日本

お住まいの地域でこの詐欺を通報できる公式窓口。