ブロックチェーン/レベル X · 一周して/10.2 レシピ/レッスン 1

ステップ1：棚卸しを行う

レンガを一本も動かす前に、その家（資産）の全体像を把握する

用意するものチェーン、資産タイプ、ウォレットアドレス、承認状況、保管方法の列があるスプレッドシートEtherscanのトークン承認チェッカー、または各アクティブなEVMチェーン用の同等のツールプログラム権限の監査に関するSolanaウォレットドキュメントリファレンス

問い

忘れ去られた承認署名が、秘密鍵を一切明かすことなく攻撃者に資産へのアクセス権を与えることはどうして可能なのでしょうか？
実際にトークンが転送されないのであれば、未使用のトークン承認を取り消す際になぜネットワーク料金を支払う必要があるのでしょうか？
あるチェーン上でラップされた資産を保有することと、それを裏付けるネイティブコインを保有することの違いは何ですか？

探究

資産を統合する前に、価値が存在するすべての場所について記録を残す必要があります。これには、中央集権型取引所のアカウント、セルフキャスティディ・ウォレットアプリ、異なるチェーン上のトークン、アクティブなステーキングポジション、流動性プールへの出資分、保留中のエアドロップ請求、そして使用中のすべてのシードフレーズが含まれます。完全なインベントリは、残高だけでなく管理構造も明らかにします。つまり、どのキーがどの資産を保持しているか、そしてそのキーがどこにあるかということです。このマップがなければ、後続の手順で価値が行方不明になったり、不必要なリスクにさらされたりする危険があります。
イーサリアム風のチェーンでは、トークンの承認は重要なセキュリティ上のリスク要因となります。デcentralizedアプリケーションとやり取りする際、ユーザーはERC-20の承認トランザクションに署名し、スマートコントラクトに自分に代わって特定のトークンを使用する権限を与えます。この権限は明示的に取り消されるまで有効です。もしユーザーが最初のやり取りの際にコントラクトの承認を行っただけで、それ以降取り消しに戻らなかった場合、そのコントラクトはその資産に対して無制限または大幅な支出権限を保持し続けます。そうしたコントラクトが不正利用されたり悪意のあるものになったりすると、ユーザーの追加の操作なしに残高を使い果たすことがあります。
Etherscanのトークン承認ツールなどの承認チェッカーを使えば、ユーザーは自分のウォレットを接続し、有効なすべての承認状況を確認できる。使用されていない承認を取り消すにはガス料金がかかるが、それによって潜在的な攻撃経路を排除することができる。そのトレードオフは明らかだ——今少し料金を支払うことで、後で大きな損失を被るリスクを防ぐのである。依然として使用中のポジションを支える承認は役立つが、放棄されたアプリケーションによって残された古い承認は何の役にも立たない。
ラップされた資産やブリッジされた資産は、ネイティブコインではなく他者の管理下にある資産やブリッジインフラに対する権利を意味するため、さらなる複雑性をもたらします。エテルリアム上のラップトークンは、管理者が保有するビットコインに対する権利を表し、別のチェーン上のブリッジされた資産は、契約内にロックされている元の資産に対する権利です。これらのラッパーは、仲介者の支払い能力や誠実さに依存しています。在庫管理においては、どの資産がネイティブなもので、どれが派生型の権利を表すものかを明確にすることが不可欠です。なぜなら、それらの安全性は、直接元のコインを保有する場合とは大きく異なるからです。
Solanaでは、SPLトークンアカウントは、定められた金額まで支出できるよう承認されたデリゲートに名前を付けることができ、その承認は所有者が取り消すまで有効なままです。一部のウォレットやエクスプローラーではデリゲーションの一覧が表示され、それらを取り消すことも可能です。Solanaのドレイナーは、ユーザーにトークンを転送したり、トークンアカウントの権限を完全に譲渡するトランザクションに署名させるようだますことが多いため（レッスン7.1.3）、どのウォレットがどのアプリケーションに署名したかを知っておくことも重要です。
この在庫管理フェーズの最終ステップは、具体的なチェックです。アクティブなアドレスごとに承認チェッカーを開き、リストをスキャンします。現在、ステーキングや貸出、または活発な取引に使用されていない契約は、取消しの対象としてマークされるべきです。このプロセスにより、受動的な保有状態から積極的に管理されるセキュリティ体制へと変わります。コストは各取消しにかかるガス料金であり、利点は、ユーザーのさらなる操作を必要とせずに悪用され得るリスクを排除することです。