ウォレット承認とフィッシング対策：悪意ある承認を取り消す方法、盗難後の初動対応

まず結論：オンチェーンでの盗難のほとんどは、あなた自身が署名したことが原因

「ウォレットがハッカーに破解された」という話は、現実にはほとんど起こりません。損失の大半は次の2種類の操作から生じます：悪意のあるコントラクトを承認した（あなたの資産は正規のコントラクトによって送金された）、そしてフィッシングサイトで署名を押したかシードフレーズを入力した（あなた自身が制御権を渡した）。オンチェーン取引は取り消せず、一度署名するだけでアドレスが空になる可能性があります。

この記事では2つのことを明確にします：危険な承認を確認・取り消す方法、そして送金・操作前の防御行動と盗難後の緊急対応フロー——後者は一生使わないことを願いますが、事前に知っておく必要があります。

リスク1：トークン承認（Approve）とは何か

オンチェーンでDApp（DEX、ステーキング、レンディングなど）を使う際、まずそのDAppにあなたの特定のトークンを使う権限を「承認」する必要があります——これがApproveです。問題は承認額にあります：

• 正確な金額の承認：その取引の金額だけを使うことを許可し、使い切れば終了、比較的安全；
• 無制限承認：そのトークンの全残高を使うことを許可し、しかも長期間有効。もし承認した相手が悪意のあるコントラクトなら、数か月後のいつでもあなたのそのトークンをすべて送金でき、その時あなたは何の通知も受け取りません。

リスクはここにあります：多くのDAppは「後続の操作を減らす」ために、デフォルトで無制限承認を選ぶよう誘導します；そしてフィッシングサイトは正常なDAppを装い、唯一の目的はあなたにその承認ボタンを押させることです。

危険な承認を確認・取り消す方法

1. 承認照会ツールを開く（一般的なものにrevoke.cash、およびブロックエクスプローラー付属の承認照会、例えばイーサリアムエクスプローラーのToken Approval Checker）；
2. ウォレットを接続する——このステップはオンチェーンの公開データを読み取るだけで、シードフレーズは不要、送金も不要；
3. 承認リストを確認：「額が無制限」かつ「承認先をもう使っていない」項目に注目；
4. 取り消し（Revoke）をクリックし、ウォレットでこの取引を確認。取り消し自体もオンチェーン操作であり、ガス代の支払いが必要；
5. 習慣にする：1～2か月ごとに確認し、特に新しいプロジェクトに参加した後は必ず。

2つの注意点：1つ目は、取り消す際に接続しているサイトがどれかをよく確認すること、詐欺師も偽の「取り消しツール」を作っています；2つ目は、ガス代を節約するために見知らぬサイトに無制限承認を与えないこと、そのわずかな取引手数料の節約は、あなたの全残高のリスクに対応するかもしれません。

リスク2：フィッシングの6つの一般的な形態

1. 偽サイト

ドメインが公式と1～2文字しか違わず、ページは完全にコピー。よくある入口は検索エンジンの広告枠、コミュニティ内の短縮リンク、そして他人が個別チャットで送ってくる「新しい公式サイト」。防御方法は地味ですが効果的：よく使うサイトをブックマークに入れ、常にブックマークから入る、検索広告はクリックしない。

2. 偽アプリと偽拡張機能

アプリストアで検索して出てくる「同名ウォレット」、そしてブラウザに表示される「拡張機能の更新が必要です、再インストールしてください」という通知は、どちらも偽物の可能性があります。防御：公式サイトが示す公式ストアのリンクからのみインストールし、拡張機能の更新はブラウザ標準の更新機構を使い、第三者のページにある「更新」ボタンはクリックしない。

3. 公式を装った個別チャット

コミュニティやSNSのダイレクトメッセージにある「管理者」「カスタマーサポート」「テクニカルサポート」が、問題解決、補償の受け取り、キャンペーン参加を手伝うと称する。本物の公式があなたに個別チャットで何かを要求することはありません。自分から個別チャットで資産操作を求めてくるものは、すべて通報してブロックしてください。

4. アドレスポイズニング（Address Poisoning）

これは多くの人が聞いたことのない詐欺です：詐欺師はあなたのアドレスに0金額またはごく少額の送金を行い、送金元アドレスはあなたのよく使う受取アドレスと先頭と末尾の文字が完全に同じ。目的はあなたの送金履歴を汚染すること——次にあなたが「履歴」からアドレスをコピーする時、詐欺師のアドレスをコピーしてしまう可能性が高い。防御：送金時は履歴から適当にコピーせず、アドレス帳やホワイトリストを使う；照合時は少なくとも先頭と末尾それぞれ4～6文字を確認する。

5. 偽エアドロップと偽受け取りページ

「あなたはXXXエアドロップを受け取る資格があります」というページで、「受け取る」をクリックすると実際には承認への署名や直接送金をさせられます。判断基準：本物のエアドロップは先にお金を払わせたり、全資産を先に承認させたり、シードフレーズを入力させたりしません。

6. 偽ウォレットアップグレード / 資産移行ページ

「ウォレットバージョンのアップグレード」「旧バージョンの資産は移行が必要」を理由に、シードフレーズをWebページに入力させたり、偽造アプリでウォレットを復元させたりします。覚えておいてください：シードフレーズは自分で能動的に開いた正規のウォレットアプリにのみ入力すべき、それ以外のどんなページもフィッシングです。

送金前の3つの動作

1. アドレスを照合：先頭と末尾それぞれ4～6桁が一対一で一致することを確認；金額が大きい時は全文字を照合。長期的な送金相手はアドレス帳やホワイトリストに追加；
2. まず少額でテスト：あるアドレスに初めて送金する時は、まず少額を送り、着金を確認してから残りの金額を送る；
3. ハードウェアウォレットの画面で確認：ハードウェアウォレットを使っている場合、ウォレットソフトに表示される受取アドレスはマルウェアによって改ざんされている可能性があります、デバイス画面のアドレスこそが信頼できる——これがハードウェアウォレットの最も重要な価値であり、必ず活用してください。

もし盗難に遭ったら：最初に何をするか

順序が重要です、最初の2ステップが速いほど、取り戻せる部分が多くなります：

1. 直ちに残りの資産を移す：新しく生成したウォレット（新しいシードフレーズ、できればクリーンなデバイス環境で作成）で、まだ送金されていない資産を受け取る。元のウォレットを使わない、アプリを再インストールするだけにしない；
2. 旧ウォレットのすべての承認を取り消す：漏洩原因がシードフレーズでない場合（例えば承認やフィッシング署名だけ）、できるだけ早く承認を取り消し、同じアドレスの他のトークンが引き続き送金されるのを防ぐ；
3. 証拠を保存：盗難取引のハッシュ、詐欺師のアドレス、時点、関与した金額、そしてその時アクセスした疑わしいURLや拡張機能のスクリーンショット；
4. 資産が中央集権型取引所に流入した場合：直ちにその取引所のカスタマーサポートとコンプライアンス窓口に連絡し、証拠を提出して差し止めを申請。オンチェーン送金は取り消せませんが、不正資金がプラットフォーム口座に入った後、プラットフォームの凍結機構が時間を稼ぐチャンスがあります——このステップは早く提出するほど可能性が高まります；
5. 警察に通報し記録を固定：地元警察に届け出て、受理票を保管し、同時にオンチェーン分析ツールを使って資金の追跡を続ける；
6. 漏洩箇所を振り返る：承認したのか、フィッシングをクリックしたのか、それともシードフレーズが漏洩したのか？原因を突き止めなければ、新しいウォレットも同じ方法で空にされる可能性があります。

正直に言わなければなりません：オンチェーン資産は一度送金されると、回収できる確率は非常に低いです。だからこそ、前述のすべての防御行動に時間をかける価値があるのです。

日常の防御チェックリスト

1. 資産を階層化：取引所には取引資金、ホットウォレットには日常操作の少額、ハードウェアウォレットには長期保有の大額；
2. 独立したブラウザプロファイル（または予備デバイス）をオンチェーン操作専用にし、日常のブラウジングと混用しない；
3. よく使うサイトはすべてブックマークに入れ、検索結果の広告や個別チャットのリンクはクリックしない；
4. 署名前にポップアップの内容をよく読む：署名（Sign）と承認（Approve）は別物、承認の方が危険、額は「正確な金額」を優先；
5. 毎月1回承認記録を確認し、使っていないものを取り消す；
6. シードフレーズ、秘密鍵、認証コードを求めるあらゆる場面は、一律拒否。

よくある質問

署名と承認の違いは何ですか？

署名は通常「あなたがこのアドレスの持ち主であること」を証明するだけで、資産を直接移動させるものではありません。一方、承認（Approve）は「あるトークンを使う権限」をコントラクトに渡すことで、额度が十分に大きいと相手はいつでもあなたの資産を送金できてしまいます。承認のポップアップが表示されたら、必ず相手と额度を確認してから確定をクリックしてください。

承認の取り消しにはお金がかかる？

かかります。取り消し自体がオンチェーン取引であり、gas 代を支払う必要があり、金額はその時のネットワーク混雑状況によって変わります。だからこそ、承認リストがいっぱいになってからまとめて整理するのではなく、最初から無制限承認を避けるのがより良い戦略です。

資産を全部一つのウォレットに入れていると、リスクは大きい？

はい。一つのウォレットは一組のシードフレーズにしか対応しておらず、一度漏洩すればすべてがゼロになります。頻繁にやり取りするその秘密鍵自体がそもそも露出しやすいのです。合理的な方法は層別管理です。頻繁にやり取りするオンチェーン資金はホットウォレットに、長期的に保有する資産はハードウェアウォレットに、取引用の資金は安全な記録があり準備証明がある大手取引所のアカウント、例えば Binance、OKX、Gate.io に置きます。こうすれば、どの环节で問題が起きても損失は制御可能です。

盗まれた資産は本当に取り戻せない？

確率は低いですが、絶対にゼロではありません。二つの状況でわずかなチャンスがあります。資産が CEX に流入した後の短いウィンドウ内（速やかに証拠を提出して凍結を申請）、そして法執行機関とオンチェーン分析チームが介入した案件です。ほとんどの場合、資産は迅速に分割され、クロスチェーンで移転され、ミキシングサービスに入ってしまい、回収の望みは薄いです。だからこそ、予防の価値は补救よりもはるかに高いのです。

リスク警告とプロモーション開示：オンチェーン取引は取り消し不可能であり、承認と署名の操作には資産損失のリスクがあり、本文の内容は投資助言を構成しません。本文にはプロモーションリンクが含まれており、リンクを通じて登録すると私たちが手数料を得る可能性がありますが、あなたが支払う費用は増えず、本文の判断にも影響しません。文中で言及されているツールと仕組みは 2026 年 10 月時点のものであり、各公式チャネルの説明を基準にしてください。