DAppsを利用する際、ウォレット接続や「Approve」「署名」といった操作を求められます。これらは便利な機能を使うために必要な手続きですが、内容を確認せずに進めてしまうと、資産を失う原因になります。
なお、ウォレットを接続すること自体で秘密鍵がDApps側に渡るわけではありません。ただし、接続後に求められる取引や署名の承認内容には注意が必要です。
接続前に確認すること
公式のURLか確認する
接続しようとしているDAppsのURLが、公式に案内されているものと一致しているかを必ず確認してください。見た目が本物そっくりでも、URLが少しだけ違う偽サイト(フィッシングサイト)である可能性があります。見慣れないサイトや、公式発表のないDApps、不自然に高いリターンをうたうDAppsへの接続や操作は避け、必ず公式に案内されたURLやアプリ内ブラウザから利用するようにしてください。
求められている権限の範囲を確認する
ウォレット接続時に表示される内容が、そのDAppsの機能に見合ったものか確認しましょう。例えば、単に残高を見せるだけのはずのDAppsが、資産を動かす権限まで求めている場合は注意が必要です。
署名する際の注意
内容をよく読まずに承認しない
署名や取引の確認画面が表示されたら、内容(送信先・数量・呼び出す関数など)をよく確認してから進めてください。急かされるように次々と署名を求められる場合は、特に注意が必要です。
ブラインド署名とは
スマートコントラクトへの署名は、その内容(コード)がそのまま英数字の羅列として表示されることが多く、人間が読んでも何を承認しているのか分からない場合があります。
これは「ブラインド署名」と呼ばれ、内容を理解しないまま署名してしまう温床になります。実際に2023年には、DApps連携用の外部ライブラリが不正に書き換えられたことで、ブラインド署名を行ったユーザーから資産が流出する事件も起きています。
「Unlimited(無制限)」の許可には特に注意する
トークンの使用許可を求められる際、金額の上限を設定せず「Unlimited(無制限)」で許可を求められることがあります。一度の署名で何度でも取引できる利便性がある一方、そのDAppsが後にハッキングされたり、悪意ある動作に切り替わったりした場合、想定より多くの資産を動かされてしまうリスクがあります。
接続後に見直すこと
一度与えた許可は、自分で取り消さない限り期限なく有効なまま残り続けます。使わなくなったDApps、最近利用していないサービスへの許可は、Revoke.cashで定期的に確認・取り消すことをおすすめします。
もしもの場合
不審なDAppsに接続してしまった、あるいは怪しい署名をしてしまったと気づいた場合は、実際に資産が抜き取られる前に、すぐにRevoke.cashで該当の許可を取り消してください。
もし既に資産が抜き取られてしまった場合、ブロックチェーンの性質上、その資産を取り戻すことはできません。この場合は、同じ被害が広がらないよう、そのウォレットに残っている他の許可も速やかに確認・取り消すことをお勧めします。
関連記事: Revoke.cashで不要な許可(Approval)を取り消す / 身に覚えのない送金履歴が表示された / Web2とWeb3、DApps・DeFi・DEXの違いとは？