ウォレットドレイナーとトークン承認：ウォレットが実際に空にされる仕組み
盗まれる暗号資産のほとんどは、暗号を破って盗まれるわけではありません。所有者自身が署名して手放しているのです。その署名が何をするのか、そしてどうすれば署名せずに済むのかを解説します。
最終確認日：2026-09-14
仕組み
分散型取引所にあなたのトークンを取引させるには、承認（アプルーバル）を与えます。これは、そのコントラクトがあなたのアドレスから特定のトークンを移動することを許可するものです。ほとんどのインターフェースでは、承認はデフォルトで無制限であり、有効期限もありません。
攻撃はこれがすべてです。悪意あるサイトが、ありふれたものに見える承認を求め、あなたが署名すると、そのコントラクトは好きなときにそのトークンを抜き取ります。シードフレーズは一切関係していません。暗号が破られたわけでもありません。あなた自身が許可したのです。
危険な署名の見え方
無制限の金額での approve。 正規の DEX でも標準的に使われており、だからこそ警戒すべきものに見えません。実際に取引するつもりのコントラクトにだけ与えてください。
increaseAllowance。 名前が違うだけで、同じものです。
Permit / Permit2 の署名。 これらはトランザクションとしてまったく表示されません。オフチェーンの署名なので、立ち止まるきっかけになるガス代も発生しません。ガス代のかからない署名リクエストが自動的に安全というわけではなく、むしろより危険な種類であることが少なくありません。
setApprovalForAll。 NFT 向けのものです。1回の署名で、コレクション全体を引き渡すことになります。
内容を確認できないまま署名する16進数データ（ブラインド署名）。 ウォレットが署名内容をデコードできず、なぜ署名するのかをあなたが正確に分かっていないなら、答えは「署名しない」です。
リクエストはどこから来るのか
- 偽のエアドロップ受け取りページ。 多くの場合、乗っ取られた SNS アカウントを通じて宣伝されます。
- 実在するプロトコルの検索広告。 そっくりなドメインへ誘導します。本物のサイトはブックマークしておきましょう。
- 先にメッセージを送ってくる Discord や Telegram の「サポート担当者」。 本物のサポートが先に連絡してくることはありません。
- ウォレットにエアドロップされた詐欺トークン。 魅力的な評価額とウェブサイト名とともに表示されます。それに触れることこそが罠です。
実践的な防御策
古い承認を取り消します。 何年も前に与えた承認は、すべて今も有効です。revoke.cash や Etherscan のトークン承認チェッカーで定期的に確認してください。ガス代はかかりますが、それだけの価値があります。
使用上限を設定します。 MetaMask では、承認の金額を編集できます。取引する額と同程度に設定しておけば、被害をその額までに抑えられます。
ウォレットを2つ使います。 実際に使っている分だけを入れた「ホット」ウォレットと、ウェブサイト上では一切署名しない別のウォレットです。この分け方だけで、ほとんどの損失は致命的なものにならずに済みます。
失うわけにはいかない残高にはハードウェアウォレットを使います。 悪い承認を防ぐことはできません（ハードウェアウォレットでも署名できてしまいます）が、乗っ取られたコンピューターがあなたの知らないうちに署名することは防げます。
毎回ドメインを確認します。 ドレイナーサイトは、文字の見た目が本物とほとんど同じです。
正規の相手があなたのシードフレーズを求めることはありません
サポートも求めません。ウォレットの「移行」も求めません。バリデーターも求めません。ファームウェアのアップデートも求めません。人やウェブサイトが、その12語や24語を必要とする状況は存在しません。求めてくる相手は、例外なくあなたから盗もうとしています。