Horu@horuweb3
署名しただけなのに資産が流出することはありますか？
新しいサービスを見ていて「ウォレットでログイン」ボタンを押しました。ウォレットが開き、署名を要求されます。パスワードの代わりに、自分がこのウォレットの持ち主であることを確認するプロセスだと考えることができます。
しかし、署名画面が出たからといって、すべてが同じ内容に同意するわけではありません。ログイン確認に使われる署名もあれば、トークンを使用する権限が含まれる署名もあります。
署名は一種の同意の証です
ウォレット署名は「このリクエストを私が承認しました」と証明する方法です。イーサリアムでログインする方式のように、ウォレットアドレスの利用者であることを確認する署名もあります。
一方、コインを交換したりNFTを取引したりする際は、サービスが特定のトークンを使えるように許可を与えるリクエストを求められることがあります。見た目は似た署名ウィンドウでも、中に含まれる内容は全く別物なのです。
署名する時はガス代もかかりませんでしたが？
まさにここが紛らわしいポイントです。一部の署名は、署名した瞬間にブロックチェーンへ取引を記録しません。そのため、その時点ではガス代がかからないこともあります。
だからといって、何の悪用もできない署名だという意味ではありません。例えばトークンの使用を許可する内容に署名すれば、その署名を受け取った側が後からそれを提出し、権限を行使したり資産を移動させたりすることが可能です。MetaMaskの署名フィッシングに関する案内でも、このような点に注意するよう説明されています。
詐欺サイトがログインや報酬受取のための手続きのように見せかけて、実際には別の権限を要求してくるケースもあります。署名直後に残高がそのままだからといって、安全だったと断定できない理由はここにあります。
署名前に何を確認すべきでしょうか？
まずは接続したサイトのURLが、利用しようとしていた公式のものか確認してください。ウォレットに表示されたリクエストが、今行おうとしている行動と一致しているかも見てみましょう。ログインしようとしているのにトークンの使用上限や権限を求められたら、一度立ち止まる必要があります。
権限を与えるリクエストであれば、どのトークンを、誰に、どれだけ許可するのかを確認することをお勧めします。無制限なのか、有効期限があるのかもチェックしてください。内容が理解できない場合や、出所が怪しい場合は署名をキャンセルし、公式の案内を再確認するのが賢明です。
既に怪しいリクエストに署名してしまったら？
可能な限り早急に、残っている資産を安全な新しいウォレットへ移し、該当ネットワークのトークン承認履歴を確認して不要な権限を無効化してください。サービスとの接続を切断するだけでは、既存のトークン使用承認は取り消されません。
ただし、まだブロックチェーンに提出されていない署名は、一般的な承認リストに表示されないことがあります。署名の種類によって取り消し方法も異なるため、リストが空だからといって安心せず、ウォレットプロバイダーの公式案内を確認してください。復旧を助けると名乗り出て連絡してくる相手に、復旧フレーズや秘密鍵を教えることも絶対に避けてください。
署名はウォレットを使う際によく出会う機能です。ボタンを押す前に「このリクエストは今自分がしようとしていることと一致しているか？」と一度立ち止まって確認することから始めてみてください。