Rabby WalletはDeFiユーザーにとって安全ですか?

Rabby Wallet のアーキテクチャとセキュリティ基盤

1. Rabby Wallet は、GitHub でホストされている監査済みコードを備えたオープンソースのブラウザ拡張機能として構築されており、暗号化実装と署名処理ロジックの公開検証を可能にします。

2. EIP-712 構造化データ署名を採用して、リプレイ攻撃とドメイン分離を防止し、署名が特定の dApp ドメインとチェーン コンテキストにバインドされるようにします。

3. ウォレットは、BIP-39 および BIP-44 標準を使用して決定論的な HD 導出を実装し、日常操作中にマスター シードを公開することなくチェーンごとに一意のアドレスを生成します。

4. すべての秘密キー素材はブラウザの安全な実行コンテキスト内に厳密に残ります。署名中にリモート API 呼び出しが行われないため、サーバー側のキーの公開が排除されます。

5. そのトランザクション シミュレーション エンジンは、署名プロンプトの前に契約 ABI を解析し、正確な残高変更と関数呼び出しを表示します。これにより、ライブ DeFi インタラクションにおける悪意のあるトークンの承認が傍受されました。

クロスチェーンリスクサーフェス分析

1. Rabby はアクティブなチェーンを自動的に検出し、ネットワークごとに権限を分離しますが、同じコントラクト アドレスがチェーン間で再利用されている場合、Avalanche で侵害された 1 つの承認がイーサリアムに伝播する可能性があります。

2. チェーン抽象化レイヤーにより、微妙な状態の不一致が生じます。ユーザーは Polygon 上のトークンを承認しても、バイトコード パターンが同一であるため、知らず知らずのうちに Base 上のミラーリングされたコントラクトへのアクセスを許可してしまう可能性があります。

3. ウォレットの「自動切り替え」機能は、dApp の検出時にチェーンの再構成をトリガーします。これにより、ユーザーが手動の確認手順をスキップすると、セカンダリ ネットワークで意図しない承認が発生します。

4. Rabby の UI に統合されたクロスチェーン ブリッジは、標準ウォレット ルーティング ロジックをバイパスし、宛先チェーン上で署名されたメッセージが異なる解釈を受ける可能性がある監視されていないパスを作成します。

5. トランザクションのプレビューにはクロスチェーンのガス見積もりエラーが反映されず、その結果、非プライマリ チェーンで実行が失敗したり、予期しない手数料が差し引かれたりすることがあります。

2026 年に観測された現実世界の攻撃ベクトル

1. Rabby のインターフェースを模倣したフィッシング サイトには、公式アップデートを装った悪意のある拡張機能をダウンロードする偽の「セキュリティ監査レポート」ボタンが埋め込まれています。

2. 偽の dApp は、変更された RPC エンドポイントを Rabby の接続層に挿入し、有効なチェーン ID チェックを維持しながら、トランザクションを攻撃者が制御するコントラクトにリダイレクトします。

3. 悪意のあるNFTミントは、セッション全体でRabbyのデフォルトの「この決定を記憶する」設定を悪用し、すでに承認されたERC-20トークンの自動割り当てリセットをトリガーします。

4. クリップボード ハイジャック攻撃は、ウォレット アドレスのコピー＆ペースト操作中に Rabby ユーザーをターゲットにし、宛先アドレスを 80 ミリ秒未満で攻撃者が制御するアドレスに置き換えます。

5. Rabby のフォールバック ノード システムで使用される侵害されたサードパーティ RPC プロバイダーが、操作されたブロック ヘッダーを配信し、不正なトランザクション ステータス表示や誤った確認信号を引き起こしました。

構成強化対策

1. 「チェーン分離モード」を有効にすると、EVM 互換ネットワーク全体での共有権限が無効になり、同一の契約アドレスであっても個別の承認が強制されます。

2. 「シミュレーション モード」をアクティブにすると、ネストされた外部呼び出しや潜在的な再入パスなど、署名前に完全なコントラクト コール ツリーがレンダリングされます。

3. 「ネットワークの自動切り替え」を無効にすると、dApp メタデータによってトリガーされる自動チェーン変更が防止され、毎回明示的なユーザーの選択が必要になります。

4. 検証済みプロバイダーを使用してカスタム RPC エンドポイントを設定すると、操作に対して脆弱なデフォルトのパブリック ノードへの依存がなくなります。

5. Rabby の設定パネルから直接 Revoke.cash 統合を使用すると、サポートされているチェーン全体ですべてのアクティブな割り当てをワンクリックで取り消すことができます。

よくある質問

Q: Rabby Wallet のサーバーに秘密鍵は保存されますか?いいえ、Rabby Wallet が秘密鍵を外部に送信したり保存したりすることはありません。すべての暗号化操作はブラウザーのサンドボックス内でローカルに行われます。

Q: Rabby Wallet を Ledger や Trezor などのハードウェア デバイスで使用できますか?はい。 Rabby は、WebUSB を介した Ledger Nano X2 および Trezor Model T との直接統合をサポートしており、キーをホスト デバイスに公開することなく、すべての EVM チェーンのハードウェア署名を可能にします。

Q: 同じトランザクションに対して、Rabby が MetaMask とは異なるガス推定値を表示する場合があるのはなぜですか? Rabby は、リアルタイムのメモリプールの混雑パターンと過去の成功率に基づいてトレーニングされた独自のオンチェーン料金予測モデルを使用しますが、MetaMask は ETH ガソリン ステーション API に依存しています。違いは、データ ソースとサンプリング間隔の違いから生じます。

Q: Rabby がインストールされているブラウザ プロファイルにアクセスできなくなった場合はどうなりますか?資産は、元の 12 単語のニーモニック フレーズを使用して回復可能です。 Rabby はウォレットの回復をブラウザの同期やクラウド バックアップと結びつけません。重要なのはシード フレーズだけです。