WEEXセキュリティ警告：悪意のある承認詐欺

悪意のある承認詐欺とは

悪意のある承認詐欺は、Web3の世界で最も広く蔓延し、大きな被害をもたらしている脅威のひとつです。これまで数えきれないほどのユーザーが被害に遭っています。

Web3では、スマートコントラクトとやり取りする際、トランザクションに署名して許可を与えることがしばしば求められます。一般的な例をいくつか挙げます。

• dAppにあなたのトークンへのアクセスを許可する
• コントラクトにNFTの転送権限を付与する
• ログインや所有権の確認といった、一見無害に見える操作を実行する

悪意のある承認詐欺は、これらの操作を悪用し、ユーザーをだまして悪質なコントラクトに資産の転送権限を付与させます。

主な特徴

1. ユーザーをだまして危険な権限を与えさせる：詐欺師は、正規のdApp、エアドロップ、NFTプロジェクトになりすまします。ユーザーを誘い込み、「承認」ボタンをクリックさせることで、実際にはトークンやNFTへのアクセスといった悪意のある操作を許可させます。
2. 送金していないのに資産が抜き取られる：あなたは「確認」ボタンをクリックしただけで、一切の送金をしていません。しかし、一度承認してしまうと、攻撃者はその後いつでもあなたの資産を好きなときに転送できるようになってしまいます。
3. 承認は無制限であることが多い：ほとんどの悪意のあるコントラクトは、可能な限り最大の許可額を要求します。これにより、トークンやNFTへの永続的かつ無制限のアクセス権を詐欺師に与えてしまいます。
4. コントラクトは受動的：詐欺に使われるコントラクトは、自ら資金を盗むわけではありません。ユーザーが自発的に承認に署名することに完全に依存しており、これによって従来のセキュリティ警告を回避しています。
5. 誤解を招く署名プロンプト：ウォレットの承認プロンプトは、専門的すぎたり、逆に簡略化されすぎたりして、何に署名しているのか理解しづらいことがよくあります。多くのユーザーは、無害な許可だと思い込んでリスクに気づかないまま承認してしまいます。

よくある手口

1. 偽のエアドロップやNFTミントページ：サイトで「期間限定エアドロップ」や「無料ミント」を宣伝します。ボタンをクリックすると、トークンやNFTへのアクセス承認を求められます。一度承認してしまうと、詐欺師はいつでもあなたの資産を抜き取ることができます。
2. 偽のDEXやスワッププラットフォーム：偽の分散型取引所（DEX）にウォレットを接続してトークンをスワップしようとします。しかし取引は行われず、サイトはトークンへのアクセス承認をだまし取ります。その後、資金が盗まれてしまいます。
3. 偽のステーキングやゲームプラットフォーム：偽のDeFiやGameFiプラットフォームで「トークンをステーキング」したり、「ゲームを開始」したりするよう促されます。サイトはトークンやNFTへの承認を要求しますが、プラットフォーム全体が偽物です。
4. 正規プロジェクトのフロントエンドの乗っ取り：攻撃者が信頼されているウェブサイトを侵害したり、DNSレコードを乗っ取ったりして、正規のコントラクトを悪意のあるものにすり替えます。ユーザーは本物のdAppを使っていると信じ込みますが、実際には有害な許可を与えています。
5. 偽のカスタマーサポートやドキュメント：偽のサポート担当者が「問題を解決する」と称してリンクを送ってきます。そのページではコントラクトの承認を求められますが、これはあなたの資産を盗むために作られたものです。

仕組み

悪意のある承認の基本的な考え方はシンプルです。

オンチェーンでの許可についてのユーザーの知識不足を悪用します。承認を付与するように仕向けることで、詐欺師はあなたの資産を自由に操作できるようになり、あなたが気づかないうちに盗み出します。

技術的なプロセス

典型的な悪意のある承認詐欺は、次のステップで進みます。

1. 詐欺師が悪意のあるコントラクトをデプロイします（このコントラクト自体は資金移動を開始しません）。
2. ユーザーがだまされてapprove関数（トークンの承認）を呼び出します。
3. 承認が付与されます。この時点では、資産は一時的にウォレットに残ったままです。
4. 詐欺師が別の関数を使って、資金を自身のウォレットに移動させます。
5. このトランザクションはユーザーが承認したものとみなされるため、正当なものとして扱われ、ブロックされません。

自分を守るためのベストプラクティス

悪意のある承認を避けるため、次のような危険信号に注意しましょう。

• dAppに実際の機能がなく、承認を求めることしかしない。
• ETH、ステーブルコイン、NFTといった高価値資産へのアクセスを要求する。
• 承認に利用上限がない。
• 署名ポップアップに、高リスクな操作（資金移動など）が表示されている。
• ウェブサイトがプロフェッショナルさに欠けていたり、有名なプロジェクトを模倣している。
• また、TelegramのDMやXのリプライなど、出所がはっきりしないソースからのランダムなリンクはクリックせず、承認リクエストにも応じないようにしましょう。

まとめ

理解できないものには署名しないでください。取引でない場合は、承認する前によく考えましょう。

Web3を日常的に利用するユーザーにとって、スマートコントラクトの許可を承認する行為は、極めて慎重に行うべきです。セキュリティを第一に考え、すべての承認を「資金移動の可能性があるもの」として扱い、署名する前に必ず内容を精査し、二重チェックをしてください。

関連記事

• WEEX セキュリティ警告：高リスクトークン
• WEEX セキュリティ警告：SMSスプーフィング
• WEEX セキュリティ警告：SNSとネット掲示板
• WEEX セキュリティ警告：よくある暗号資産詐欺