ウォレットとDAppの接続

接続の流れは、多くのDAppで共通しています。サイト側に接続用のボタンがあり、押すと使用するウォレットの選択肢が出て、選ぶとウォレット側にポップアップが表示され、そこで承諾するとアドレスがサイトに渡ります。ボタンの名称や位置はサイトごとに異なりますが、「サイトが要求する → ウォレットが確認を求める → 利用者が決める」という構造はどこでも同じです。この構造さえ掴んでいれば、初見のサイトでも迷いません。

スマートフォンの場合は、ブラウザ拡張の代わりに WalletConnect のような規格を使い、画面に表示されたQRコードをウォレットアプリで読み取る方式が一般的です。この場合も、読み取った後にアプリ側で接続を承諾する画面が出ます。第三者から送られてきたQRコードを読み取らないでください。接続の入口を他人に指定させないことが重要です。

接続そのものでは資産は動きません。渡るのはアドレスであり、サイトはそれをもとに残高や取引履歴を読むだけです。ただし、アドレスは公開情報なので、そのアドレスの過去の取引はすべて誰でも追えます。匿名性を期待して接続するのは誤りです。用途ごとにアドレスを分けている人がいるのは、この可視性が理由です。

危ないのは接続の次です。DAppは目的に応じて署名を求めてきます。単に本人であることを示すだけの署名もあれば、トークンを動かす許可を与える承認（approve）もあり、資産を直接送る取引もあります。ウォレットの確認画面には、接続先のドメイン、操作の種類、対象トークンと数量が表示されます。ここで「対象が無制限になっていないか」「知らないアドレスに権限を与えていないか」を見るだけで、被害の多くは避けられます。

使い終わったら接続を解除しておくのが無難です。ただし、接続を切っても、すでに与えた承認は残り続けます。この後始末は別の作業になるので、「トークン承認の取り消し」を読んで、定期的に棚卸しをしてください。