【第316回】 アイスフィッシング詐欺とは？DAppsのApprove（承認）に潜む危険とRevoke（取り消し）の方法
アリス：「ウサギ先輩、こんにちは！なんだか最近、仮想通貨のニュースで『詐欺』っていう言葉をよく見かけるんですけど、また新しい怖い手口があるんですか？」
ウサギ先輩：「やあ、アリスちゃん！相変わらず好奇心旺盛だねぇ。ふむ、確かに最近、特にWeb3の世界では新しいタイプの詐欺も出てきているから、注意が必要だよ。今日はその中でも、特に巧妙で気づきにくい『アイスフィッシング詐欺』っていうやつと、それに関連する『Approve（アプルーブ：承認）』の危険性、そしてその対策としての『Revoke（リボーク：取り消し）』について、このウサギ先輩がバッチリ解説してあげようじゃないか！」
アリス：「アイス…フィッシング？なんだか冷たくて怖そうな名前ですね…。それに、アプルーブとかリボークとか、また新しい言葉が…！ぜひぜひ、分かりやすく教えてください！」
ウサギ先輩：「ふふん、任せなさい！このウサギ先輩にかかれば、どんな難しいこともアリスちゃんにだってイチコロさ！さあ、今日も仮想通貨ワンダーランドのちょっぴり危険な、でも知っておけば安心な冒険に出発しよう！」
DAppsの「承認」って何？甘い言葉に隠された罠
ウサギ先輩：「まずね、アリスちゃん。『アイスフィッシング詐欺』を理解するためには、『DApps（ダップス：分散型アプリケーション）』と、そこで行われる『Approve（承認）』という仕組みについて知っておく必要があるんだ。」
アリス：「DAppsっていうのは、ブロックチェーンの上で動くアプリのことでしたよね？DeFiとかNFTマーケットプレイスとか…」
ウサギ先輩：「その通り！よく覚えていたね、アリスちゃん。えらいえらい！例えば、アリスちゃんがDEX（分散型取引所）で持っているAトークンをBトークンに交換したいとしよう。その時、DEXのプログラム（これをスマートコントラクトって言うんだったね）が、アリスちゃんのウォレットからAトークンを引き出して、代わりにBトークンを入れる作業をする必要がある。」
アリス：「はい、それはなんとなく分かります。」
ウサギ先輩：「でもね、スマートコントラクトは勝手にアリスちゃんのウォレットの中身をいじれないんだ。そこで登場するのが『Approve（承認）』さ。これはね、アリスちゃんが『私のウォレットにあるAトークンを、このDEXのスマートコントラクトが〇〇枚までなら自由に動かしていいですよ』って許可を与えるようなものなんだ。いわば、スマートコントラクトに一時的に合鍵を渡すようなイメージかな。」
アリス：「合鍵ですか！なるほど、それがないと交換できないんですね。」
ウサギ先輩：「そうなんだ。NFTマーケットプレイスで自分のNFTを出品するときも同じ。マーケットプレイスのスマートコントラクトが、売れた時にそのNFTを買い手に送れるように、事前にアリスちゃんからの『Approve（承認）』が必要になるわけだ。」
アリス：「便利な仕組みなんですね！でも、それがどうして危険なんですか？」
ウサギ先輩：「良い質問だね！便利さの裏には、いつも危険が潜んでいるものさ。この『Approve（承認）』には、いくつかの落とし穴があるんだ。」
知らぬ間に全財産が！？「無制限承認」の恐怖
ウサギ先輩：「まず一つ目の危険は、『無制限承認（Unlimited Approve）』というやつさ。多くのDAppsではね、ユーザーの利便性を考えて、トークンを操作できる上限枚数を設定せずに『無制限に操作してOK』という形で承認を求めてくることがあるんだ。」
アリス：「無制限！？それって、私のウォレットの中にあるそのトークン全部を、いつでも動かせちゃうってことですか？」
ウサギ先輩：「ご名答！まさにその通り。一度『無制限承認』をしてしまうと、そのスマートコントラクトは、理論上、アリスちゃんのウォレット内の該当トークンを、上限なく、いつでも引き出せる状態になってしまうんだ。まるで、金庫の合鍵を渡した上に『中身は全部ご自由にどうぞ』って言ってるようなものさ。」
アリス：「ひえええ！それは怖いですね…。でも、ちゃんとしたDAppsなら大丈夫なんじゃないですか？」
ウサギ先輩：「もちろん、信頼できるDAppsなら、承認したからといってすぐにトークンを盗んだりはしないよ。でもね、問題はここからだ。」
偽サイト・悪意の契約書にサインしちゃダメ！
ウサギ先輩：「二つ目の危険、これが『アイスフィッシング詐欺』に直結するんだけど、もしアリスちゃんが偽物のDAppsサイトや、悪意を持って作られたスマートコントラクトに対して『Approve（承認）』をしてしまったらどうなると思う？」
アリス：「あ…！もしかして、その悪い人たちに、私のトークンを自由に動かせる合鍵を渡しちゃうってことですか…？」
ウサギ先輩：「その通り！大正解。それも『無制限承認』だったら、もう最悪だ。攻撃者は、アリスちゃんが気づかないうちに、ウォレット内の該当トークンをごっそり盗み出すことができる。これが『アイスフィッシング詐欺』の基本的な手口なんだ。」
アリス：「フィッシング詐欺っていうのは、偽物のメールとかサイトでIDとパスワードを盗む手口ですよね？それと似ているんですか？」
ウサギ先輩：「似ている部分もあるけど、決定的に違う点がある。従来のフィッシング詐欺は、主にIDやパスワードといった『認証情報』を盗むのが目的だった。でも『アイスフィッシング詐欺』は、スマートコントラクトの『Approve（承認）』機能を悪用して、直接的にアリスちゃんの資産の『コントロール権限』を奪い取るんだ。よりダイレクトで、被害も大きくなりやすい。」
アリス：「直接コントロール権限を…！それは恐ろしいですね…。」
ウサギ先輩：「手口も巧妙でね。例えば、DiscordのDMやTwitterの偽アカウントから『限定NFTのエアドロップがあります！』とか『新しいDEXで高利回りのファーミングができます！』みたいな甘い言葉で偽サイトに誘導してくる。そのサイトは本物そっくりに作られていて、ウォレットを接続してトランザクションに署名（Approveのことだね）するように促してくるんだ。」
アリス：「うわぁ、そんな誘いが来たら、ついクリックしちゃいそう…。」
ウサギ先輩：「焦りは禁物だよ、アリスちゃん。見た目が本物そっくりでも、その裏に潜むスマートコントラクトが悪意のあるものだったら、承認した瞬間にカモネギさ。」
「接続解除」だけじゃダメ！承認は生き続ける
ウサギ先輩：「そして三つ目の怖い点。一度与えてしまった『Approve（承認）』は、アリスちゃんがウォレットの『接続解除（Disconnect）』をしただけでは消えないんだ。」
アリス：「ええっ！？そうなんですか？DAppsを使い終わったら、いつも接続解除してるんですけど…。」
ウサギ先輩：「うん、接続解除はDAppsがアリスちゃんのウォレットアドレスを認識できなくするだけで、スマートコントラクトに与えた『トークンを操作する権限』自体はブロックチェーン上に記録されたままなんだ。つまり、合鍵は渡したままってこと。」
アリス：「じゃあ、どうすればいいんですか？一度渡しちゃった合鍵は、もう取り返せないんですか？」
ウサギ先輩：「いやいや、ちゃんと取り返す方法があるから大丈夫！それが次に説明する『Revoke（リボーク：取り消し）』だよ。」
あなたの資産を守る盾！「Revoke（取り消し）」を使いこなそう
ウサギ先輩：「『Revoke（リボーク）』とは、DAppsのスマートコントラクトに対して与えたトークン操作の『Approve（承認）』を、文字通り取り消すことさ。渡した合鍵を回収するイメージだね。」
アリス：「合鍵を回収！それなら安心ですね！」
ウサギ先輩：「うん。Revokeを行うことで、意図しないDAppsや悪意のあるコントラクトによる資産の不正な引き出しリスクを大幅に減らすことができるんだ。」
Revokeはいつ必要？定期的なお掃除を
アリス：「どんな時にRevokeすればいいんですか？」
ウサギ先輩：「良い質問だね。基本的には、以下のようなケースでRevokeを検討するといいよ。」
もう利用しなくなったDAppsの承認：使わないサービスの合鍵は回収しておこう。
信頼性に欠ける、または少しでも怪しいと感じたDAppsへの承認：うっかり承認しちゃったけど、後から「あれ？」と思ったらすぐにRevokeだ。
利用しているDAppsがハッキングされたというニュースを見た時：そのDAppsのスマートコントラクト自体が乗っ取られている可能性もあるからね。
定期的なセキュリティチェックの一環として：月に一度とか、自分の中でルールを決めて、不要な承認がないかチェックしてRevokeする習慣をつけると、とっても安全だよ。お部屋の掃除と一緒さ。
アリス：「なるほど！定期的なお掃除、大事ですね！」
Revokeの具体的なやり方：専用ツールを使ってみよう
ウサギ先輩：「じゃあ、具体的にどうやってRevokeするのか。いくつかの方法があるけど、一番簡単でよく使われているのは、『Revoke.cash』のような専用ツールを利用する方法だね。」
アリス：「リボーク・ドット・キャッシュ…ですか？」
ウサギ先輩：「そう。これは、いろんなブロックチェーンに対応していて、自分のウォレットを接続すると、過去にどんなスマートコントラクトにどんなトークンの承認を与えたか一覧で表示してくれるんだ。そして、取り消したい承認を選んで『Revoke』ボタンを押せば、トランザクションが実行されて承認が取り消される、という仕組みさ。」
アリス：「へぇー！そんな便利なツールがあるんですね！」
ウサギ先輩：「他にも、EtherscanやBscScan、PolygonScanといった各ブロックチェーンのエクスプローラー（取引履歴とかを見られるサイトだね）にも、同様のRevoke機能が提供されている場合があるよ。」
ウサギ先輩：「手順を簡単に説明すると、こんな感じかな。」
Revoke.cash（または各エクスプローラーのRevoke機能ページ）にアクセスする。**※偽サイトに注意！必ず公式サイトのURLか確認すること！**
自分のウォレット（MetaMaskなど）を接続する。
Revokeしたいトークンが乗っているブロックチェーン（イーサリアムとかBNB Chainとか）を選択する。
過去に承認を与えたコントラクトとトークンの一覧が表示されるから、内容を確認する。
取り消したい承認の「Revoke」ボタンをクリックする。
ウォレットが立ち上がってトランザクションの確認画面が出るので、内容を確認して承認する。この時、ガス代（手数料）がかかるよ。
アリス：「ガス代がかかるんですね…。」
ウサギ先輩：「うん、Revokeもブロックチェーン上に新しい情報を記録する立派なトランザクションだからね。でも、資産を守るための保険料だと思えば安いものさ。」
Revokeするときの注意点：焦らず慎重に
ウサギ先輩：「Revokeする時にも、いくつか注意点があるから覚えておこう。」
ガス代の発生：さっきも言ったけど、Revokeにはガス代がかかる。ガス代が高い時には無理せず、少し待ってから実行するのも手だね。
公式サイトの確認：Revokeツール自体が偽物だったら元も子もない。アクセスするURLはブックマークしておくか、信頼できる情報源から確認しよう。
「接続解除」との違いを再認識：何度も言うけど、ウォレットの「接続解除（Disconnect）」と「Revoke（承認取り消し）」は全く別物！不要な承認は必ずRevokeしよう。
必要な承認まで消さないように：普段よく使っているDEXなどの承認まで全部Revokeしちゃうと、また使う時に再承認が必要になって手間とガス代がかかる。どれが不要でどれが必要か、よく確認してからRevokeしようね。
アリス：「はい！よく分かりました！Revokeって、自分で自分の資産を守るための大切な操作なんですね！」
ウサギ先輩：「その通り！Web3の世界は自由で革新的だけど、その分、自己責任も大きい。自分の身は自分で守る、という意識が何よりも大切なんだ。」
アイスフィッシング詐欺から身を守るために
ウサギ先輩：「さて、アイスフィッシング詐欺とApprove、Revokeについて学んだところで、最後に、どうすればこの手の詐欺から身を守れるか、対策をまとめておこう！」
アリス：「はい！お願いします！」
ウサギ先輩：「大きく分けて、基本的な心構え、技術的な対策、そして情報収集の3つが大事だよ。」
基本的な心構えと対策
- 「うまい話には裏がある」を肝に銘じる：高すぎる利回り、限定すぎるエアドロップ、急すぎるミント情報はまず疑ってかかろう。- DMや不審なリンクは絶対に開かない、クリックしない：公式発表でもないのにDMで送られてくる情報は99%詐欺だと思っていい。
- ブックマークを活用する：よく使うDAppsや取引所は、必ず公式サイトをブックマークして、そこからアクセスする癖をつけよう。検索エンジンやSNSのリンクは危険がいっぱいだ。
- URLを指差し確認！：ウォレットを接続する前、トランザクションに署名する前には、必ずブラウザのURLが本当に公式サイトのものか、一字一句確認しよう。巧妙な偽サイトはURLも似せてくるからね。
- 安易にApprove（承認）しない：トランザクションの内容、特にどのコントラクトに、どのトークンの、どれくらいの量を承認しようとしているのか、可能な限り確認しよう。意味が分からなければ承認しない勇気も必要だ。
- 無制限承認は極力避ける：DAppsが要求してきても、可能なら自分で上限枚数を設定できるか試してみよう。できない場合は、そのDAppsの信頼性をよく吟味すること。
技術的な対策
- Revokeの定期的な実施：これが一番効果的！使わない承認はこまめに掃除しよう。- ハードウェアウォレットの利用：秘密鍵をオフラインで管理できるハードウェアウォレットは、マルウェアなどによる秘密鍵自体の盗難リスクは減らせる。でも、アイスフィッシング詐欺のようにユーザー自身が悪意のあるコントラクトに承認を与えてしまうケースは防げないから、過信は禁物だよ。あくまで多層防御の一つだ。
- セキュリティソフトの導入：フィッシングサイトへのアクセスをブロックしてくれる機能を持つセキュリティソフトも有効だね。
- トランザクションシミュレーションツールの利用：最近では、署名する前にそのトランザクションがどんな結果を引き起こすかシミュレーションしてくれるツールも出てきている。上級者向けかもしれないけど、知っておくといいかもね。
- 用途別にウォレットを分ける：高額な資産を保管しておくウォレットと、日常的にDAppsを使うウォレットを分けるのも一つの手だよ。万が一DApps用ウォレットが被害にあっても、被害を最小限に抑えられる。
情報収集とリテラシー向上
- 常に最新の詐欺手口を学ぶ：詐欺師は次から次へと新しい手口を考えてくる。Twitterの信頼できるアカウントや、仮想通貨専門ニュースサイトなどで情報をキャッチアップしよう。- 信頼できるコミュニティに参加する：他のユーザーと情報交換したり、怪しい情報について相談したりできる場があると心強いよ。
- 焦らない、慌てない、相談する：怪しいと思ったら、すぐにクリックしたり署名したりせず、一度立ち止まって深呼吸。信頼できる人に相談してみよう。
アリス：「わぁ…たくさんありますね！でも、一つ一つがとっても大事だってことが分かりました！」
ウサギ先輩：「そうだね。特に『焦らない』こと。詐欺師は『今だけ』『限定』『急いで』といった言葉で判断力を鈍らせようとしてくるからね。常に冷静に、慎重に行動することが、ワンダーランドを安全に冒険するための秘訣さ。」
ウサギ先輩のちょっと一息コラム：甘い蜜には毒がある？アリス、秘密の花园の罠
さて、ここでウサギ先輩から、ちょっとしたお話をしようじゃないか。
昔々、あるところに、アリスちゃんみたいに好奇心旺盛な子ウサギがいたんだ。ある日、その子ウサギは森の奥で、今まで見たこともないほど美しい花がたくさん咲いている秘密の庭園を見つけた。「わぁ、なんて綺麗なお花畑なんだろう！見たこともない種類の花もあるぞ！」子ウサギは大喜び。
庭園の入り口には、優しそうな顔をしたキツネの番人がいた。「やあ、可愛い子ウサギさん。この庭園はね、選ばれた人しか入れない特別な場所なんだ。そして、ここにある花々は、それぞれが素晴らしい蜜を持っていてね、それを少し吸うだけで、元気が出たり、空を飛べたりする魔法の蜜なんだよ。今なら特別に、君にもその蜜を分けてあげよう。ただし、そのためには、君がいつも大切にしている『ニンジン型のお守り』を、この庭園の『花の精霊』にちょっとだけ預けて、花の力を借りる許可をもらう必要があるんだ。」
子ウサギは、空を飛べる蜜という言葉に目がくらんで、少しも疑わずにニンジン型のお守りをキツネに預け、花の力を借りるという「契約書」にサインしてしまった。これが、実は悪意のあるスマートコントラクトへの「Approve（承認）」だったとも知らずにね。
最初のうちは、本当に甘い蜜を少しだけもらえて、子ウサギは有頂天。でも、数日後、気づいた時には、大切にしていたニンジン型のお守りはもちろん、家に貯めていた他のニンジンまで、全部キツネに持ち去られてしまっていたんだ…。あの「契約書」は、「ニンジン型のお守りだけでなく、家にある全てのニンジンを自由に持ち出して良い」という内容だったのさ。
このお話、何が言いたいかわかるかな？
甘い言葉で近づいてくる偽のエアドロップや限定ミント、高利回り案件。それが「秘密の庭園」だとしたら、安易にウォレットを接続して言われるがままにトランザクションに署名するのは、「ニンジン型のお守りを預ける」ようなもの。そして、その裏には巧妙に隠された「無制限承認」という罠が仕掛けられているかもしれない。
「空を飛べる蜜」は確かに魅力的かもしれないけど、そのために何を差し出すことになるのか、しっかり見極める賢さが必要だよ。そして、怪しいと思ったらすぐに「Revoke」という名の「契約破棄」をすること。これが、Web3の森で賢く生きるための知恵なのさ。
おっと、これはあくまでウサギ先輩の創作昔話だけど、現実の世界でも似たようなことはしょっちゅう起こっているから、みんなも気をつけてね！
まとめ
アリス：「うう…子ウサギさん、かわいそう…。でも、ウサギ先輩のお話で、アイスフィッシング詐欺の怖さと、ApproveとRevokeの大切さが、よーっく分かりました！便利だからって何でもホイホイ承認しちゃダメなんですね。これからは、ちゃんと内容を確認して、怪しいと思ったら絶対に触らないようにします！そして、定期的にRevokeのお掃除をします！」
ウサギ先輩：「うんうん、それでこそ賢い冒険者だよ、アリスちゃん！Web3の世界は、自分で自分の身を守る知識と行動が本当に大切なんだ。今日の話が、アリスちゃんと、この記事を読んでくれているみんなの資産を守る一助になれば、このウサギ先輩も嬉しい限りさ。」
アリス：「はい！ウサギ先輩、今日もありがとうございました！」
ウサギ先輩：「どういたしまして！さあ、怖い話もしたけど、これでまた一つ賢くなったね。次ももっと面白い冒険が待っているよ！」
次回予告
アリス：「なんだか、ウォレットのセキュリティって、他にも色々とありそうですね…。秘密の呪文とか、隠し金庫とか…？」
ウサギ先輩：「おっと、アリスちゃん、いいところに気が付いたね！そうだ、次回はウォレットのセキュリティの要、君の資産を守るための『究極の呪文』とも言えるアレについて、深く掘り下げてみようじゃないか！失くしたら最後、でも守り切れば最強の盾となる、その秘密とは…？」
アリス：「究極の呪文！？なんだかワクワクします！早く教えてください、ウサギ先輩！」
ウサギ先輩：「ふふん、お楽しみは次回まで取っておこうじゃないか。アリスとウサギ先輩の仮想通貨ワンダーランド冒険記、次回もお楽しみに！」
☕ 冒険の心得コーナー ☕
アリス：「ウサギ先輩！ 今日のお話もすっごく面白かったです！ なんだか、この記事を読んでいたら、私も仮想通貨を買ってみたくなっちゃいました！」
ウサギ先輩：「おっと、アリスちゃん、その気持ちはよく分かるよ。でも、焦りは禁物だ。この冒険記は、あくまで不思議の国の仕組みを知るための『地図』みたいなものさ。『宝の地図』じゃないんだ。」
アリス：「宝の地図じゃない…？」
ウサギ先輩：「そう。これは『ここでコインを買いなさい』なんていう投資のアドバイスをするものでは決してないんだ。投資っていうのは、自分自身でよーく勉強して、失っても生活に困らないお金の範囲で、自分の判断と責任でするものなんだよ。そこを間違えると、ワンダーランドで迷子になっちゃうからね。このお約束は、絶対に守ってほしいな。」
アリス：「はい、わかりました！ 自分の責任で、ですね！ でも、もしこの記事の情報が間違っていたらどうしよう…って、ちょっと心配にもなりました。」
ウサギ先輩：「良いところに気がついたね、アリスちゃん。このウサギ先輩も、できるだけ正確な情報をお届けしようと頑張っているけど、この世界は変化が光の速さだからね。情報が古くなったり、勘違いしたりすることもあるかもしれない。だから、もし読者のみんなの中で『あれ？ ここの情報、ちょっと違うかも』って気づいた人がいたら、ぜひ優しく教えてくれると助かるんだ。みんなでこの冒険記を、もっと素敵なものに育てていきたいからね！」
アリス：「みんなで作る冒険記なんですね！ なんだか素敵です！」
