承認詐欺への対処

分散型取引所やDeFiを使うとき、最初に「承認」の署名を求められます。これは、そのサービスのコントラクトがあなたのトークンを動かせるようにするための必要な手続きです。問題は、この承認が一度きりの許可ではなく、取り消すまで有効な継続的な権限だという点です。しかも承認した瞬間には残高が減らないため、危険な署名をしたことに気づきにくい構造になっています。

悪用の典型は、偽サイトや偽エアドロップの画面で、攻撃者のコントラクトに対する無制限の承認を求めるものです。無制限の承認は、いま持っている分だけでなく、そのあとに入ってきた分にも及びます。攻撃者は承認を得たあと、しばらく何もせず、残高が増えたタイミングでまとめて抜き取ることがあります。「あのとき何もされなかったから大丈夫だった」という判断は誤りです。

対策は二段構えです。入口では、署名画面に出ている「誰に」「どのトークンを」「どれだけ」許可するのかを読んでから承認します。金額を指定できるウォレットなら、必要な分だけに絞ります。出口では、承認管理ツール（ブロックチェーンのエクスプローラが提供しているものを含む）で現在有効な承認を一覧し、使っていないものを取り消します。取り消しにはガス代がかかりますが、保険料と考えてください。

注意点として、承認管理ツールそのものを装った偽サイトが存在します。検索結果からではなく、信頼できる情報源で確認したURLをブックマークして使ってください。そして、どんなツールであってもシードフレーズの入力は求めません。求められた時点で、そのサイトは偽物です。