MSTR Cat

暗号資産法/レベル IV · 保有者の落とし穴/4.2 法律から見た詐欺/レッスン 3

ウォレット搾取詐欺と承認詐欺

ウェブサイトに付与する署名がどのようにして他人に自分のウォレットを空にされる原因となり得るのか、トークン規格が実際に許容していること、そして欺瞞によって同意が得られた場合の法的状況はどうなっているのか。

本コースは教育を目的としたものであり、法律・税務・投資に関する助言ではありません。暗号資産に関する法律は国や州によって異なり、頻繁に変わります。行動する前に、お住まいの地域の現行ルールを資格のある弁護士または税理士にご確認ください。

最小コストの道

法律が認める範囲で、最も安く、税負担が最も軽く、最も簡単で、最もプライバシーを守れる方法を、優先順に示します。各ステップには根拠となるルールと、合法であり続けるための条件を記しています。

  1. まず無料でできる第一の防御策：すべての署名要求を精読し、無制限な承認（approval）や、メッセージ・広告・エアドロップ経由で到達したサイトでの署名は拒否すること。ERC-20の承認とERC-2612のパーミット（permit）は、使用されるか、取り消されるか、期限が切れるまで有効なまま残る。
  2. FBIが推奨するように、ブロックエクスプローラーのトークン承認チェック機能を使って、不要になった古い承認を取り消すこと。各回の取り消しにはネットワーク手数料のみがかかり、以前に発生した盗難を元に戻すことはできない。
  3. 資産の大部分はウェブサイトと決して接続しない別のウォレットに保管し、アプリ利用には少額のウォレットを使うこと。自分のウォレット間の移転は米国では課税対象ではないが、それぞれの取得価額（cost basis）の記録を保持すること。
  4. 資金が引き出された後は、ハッシュ値を記録し、ic3.govに無料で直ちに報告すること。取引所に到達した資金や凍結可能なステーブルコインは、場合によっては凍結できることがある。サイトに入力したフレーズとは、すべてを新しいウォレットへ移すことを意味する。

用意するものERC-20トークン標準のテキスト、approveおよびtransferFromに関するセクション（eips.ethereum.org）署名されたメッセージによって承認を行えるようにする「permit」拡張機能であるERC-2612流動性マイニング詐欺に関するFBIの公共サービス広告I-072122-PSA（2022年7月21日）自身のアドレスに対する承認状況を確認するための、ブロックエクスプローラー用トークン承認チェッカー

問い

  1. シードフレーズを誰にも教えていないのに、どうやって誰かが私のウォレットの中身を空にできるのでしょうか？
  2. ウェブサイトが接続またはログインを求めてくるとき、私は一体何に同意しているのでしょうか？
  3. もし自分で「承認」をクリックしたとしても、法律上は依然として窃盗にあたるのでしょうか？

探究

  1. ウォレットドレイナーとは、ウォレットの所有者をだまして何らかの署名をさせ、攻撃者がその所有者の資産を移動できるようにする悪意のあるウェブサイト、アプリ、またはスマートコントラクトのことです。盗まれたシードフレーズ（レッスン4.1.5）とは異なり、実際に処理が行われるのは所有者自身の署名なので、ウォレットはそれを正当な操作として扱います。通常、ウォレットをサイトに接続するだけでは自分のパブリックアドレスが共有されるだけですが、危険はその後に行われる承認や署名の要求にあります。ウォレットドレイナーは、偽のエアドロップ、偽のマイントページ、類似サイト、検索広告、そして偽の「サポート」メッセージ（レッスン4.2.4）を通じて現れます。結果として通常のブロックチェーン上の送金が行われるため、どの運営者もそれを元に戻すことはできません（レッスン1.1.6）。
  2. その仕組みはトークン標準に基づいています。Ethereumやそれに類するチェーン上のほとんどのトークンはERC-20を採用しています。そのapprove関数により、「spender」はユーザーが設定した金額まで、複数回にわたってアカウントから資金を引き出すことができ、transferFromを使ってそのトークンを移動させます。デセンタライズド取引所やその他のアプリケーションは正当な理由でこの承認機能を利用しており、多くのインターフェースでは利便性のために非常に大きな金額または「無制限」の金額が要求されます。承認は使用済みになるか変更されるまで有効状態のままです。したがって、悪意のあるコントラクトに与えられた承認は、数日後や数ヶ月後にも利用され、署名後に受け取ったトークンを含む、その種類のすべてのトークンが奪われる可能性があります。
  3. 新たに登場した2つの機能がリスクを広げている。最終的なイーサリアム標準であるERC-2612では、オンチェーン取引の代わりに署名されたメッセージを通じて承認を設定するpermit機能が追加されており、その署名を持つ者なら期限前にそれを提出できる。したがって、「ログインするには署名してください」とか「エアドロップを受け取るには署名してください」と表示されるポップアップもpermitとなり、手数料も警告となる取引もない。NFTの場合、ERC-721標準のsetApprovalForAllによって「オペレーター」がコレクション内の所有者のすべてのトークンを管理できる。中には承認を完全に無視し、偽のフォームでシードフレーズを要求してウォレット全体を奪い取ろうとする者もいる。
  4. FBIはこれらの手口を記録している。2022年7月に発表された「流動性マイニング」詐欺に関する警報では、被害者が1日あたり1～3％の確実な利回りを約束され、自分のウォレットと連携させ、ウォレットのインターフェースに似せたポップアップを受け入れることで、知らず知らずのうちに詐欺師が無制限に資金を引き出すことを許してしまっていると説明されており、2019年1月以降の被害額は7,000万ドル以上に上る。2025年6月の警報では、Hederaネットワーク上で行われるNFTの「エアドロップ」について触れられており、そのメモリンクからたどり着くサイトではシードフレーズの入力が求められている。これらの警報はどちらもこの行為を窃盗と見なしており、FBIは定期的に第三者製のトークン承認チェッカーを使用することを推奨している。
  5. 米国法では、欺瞞によって得られた許可は真の同意とはみなされない。インターネットを利用して虚偽の手段で財産を手に入れる行為は、18 U.S.C. §1343に基づく電信詐欺に該当し、最大20年の懲役刑が科せられる。また、州法上の窃盗罪も一般的に欺瞞によって得られた財産を対象としている。訴訟や起訴が可能であることと、資産を取り戻せることは別の問題であり、なぜならウォレットドレイナーの運営者は多くの場合匿名で海外にいるからだ。税務に関しては、IRSのチーフカウンセルメモランダム202511015により、フィッシングやハッキングによって被った損失、また投資目的で保有されていた口座からの損失も控除可能な窃盗損失として扱われている。これは銀行口座や退職金口座を対象としているため、ウォレットから資金が奪われた場合にどのように適用されるかは状況次第だ。
  6. 実用的なチェックとしては、署名リクエストが実際に何を許可するのか、つまりspenderのアドレスや金額を確認しましょう。メッセージ、広告、エアドロップを通じてアクセスしたサイトのリクエストはすべて疑わしいものとして扱います。また、承認チェッカーを使って古い承認内容を確認し、取り消しましょう。承認の取り消し自体もネットワーク手数料がかかるトランザクションであり、既に起きた盗難を元に戻すことはできません。もしウェブサイトにシードフレーズを入力してしまった場合、承認の取り消しだけでは不十分で、ウォレット全体が危険にさらされてしまいます。資金が流出した後は、トランザクションのハッシュ値やアドレスを記録し、速やかに報告しましょう（レッスン4.2.7）。なぜなら、取引所や凍結可能なステーブルコインに送金された資金は時として凍結される可能性があるからです。

重要な事実

  • ERC-20規格において、approve機能により、spenderは承認された金額まで、アカウントから複数回引き出すことができます。
  • ERC-20のtransferFrom関数により、承認されたspenderが所有者に代わってトークンを移動させることができます。
  • ERC-2612は、所有者によるオンチェーントランザクションではなく、署名されたメッセージを使用してトークンの許可量を変更するパーミット機能を追加しています。
  • ERC-721のsetApprovalForAll機能により、オペレーターはそのコントラクト内にある所有者のすべてのNFTを管理する権限を得ます。
  • FBIの警告I-072122-PSAによると、ウォレットの権限を悪用したリクイディティマイニング詐欺により、2019年1月以降に7,000万ドル以上の損失が出ている。
  • 18 U.S.C. §1343に定める電信詐欺は、最大20年の懲役刑が科せられ、金融機関が被害を受けた場合は最大30年の懲役刑となる。

演習 九・六・三・一

9集める接続、承認、許可、全てに対する承認の設定、メッセージへの署名、シードフレーズの入力、エアドロップの受け取りなど、これまで見たウォレット関連のプロンプトやリクエストを9種類まで挙げてください。
6まとめるアドレスの共有、トークン承認、メッセージへの署名、NFTオペレーター承認、直接送金、秘密鍵またはフレーズの要求の6つのカテゴリーに分類してください。
3絞り込む6つのカテゴリを「単独では無害」「サイトが悪意を持っている場合は危険」「どのウェブサイトにも渡しては絶対に安全でない」という3つのリスクレベルに分類してください。
1結晶化するウォレット内の承認リクエストにサインする前に知りたいことは何かを1文で述べてください。

事実確認

日付、数字、主張は、下記に記載された公表資料と照合して確認しました。

インタラクティブ版で開く →

EN PT ES ZH KO RU DE FR MS