NFT セキュリティのヒント: ウォレットをハッキングから守る

ウォレットの分離戦略

1. 少なくとも 3 つの異なるウォレット タイプを維持します。1 つは毎日の DeFi インタラクション用、もう 1 つは NFT の取得と表示専用、もう 1 つは長期保有専用に確保されたエアギャップの冷蔵保管ユニットです。

2. 複数のウォレット インスタンス間で同じシード フレーズを再利用しないでください。各ウォレットは、独自に生成された一意のニーモニックから生成される必要があります。

3. MetaMask および同様のインターフェイスでの自動アカウント検出を無効にします。信頼できる契約または個人保管場所に属することがわかっている検証済みのアドレスのみを手動でインポートします。

4. 悪意のあるコントラクト呼び出しによって引き起こされる不正なバッチ転送を防ぐために、ホット ウォレットのトランザクションごとに厳格なガス制限を割り当てます。

5. ホット ウォレット アドレスを 90 日ごとにローテーションし、古いアドレスを廃止する前に、残高を新しく作成したアドレスに移行します。

契約対話プロトコル

1. 承認または転送指示に署名する前に、Etherscan または Blockchair を使用して正確なスマート コントラクト アドレスを必ず確認してください。

2. Uniswap や Blur などの評判の良いプラットフォームによって促された場合でも、無制限の ERC-20 または ERC-721 の承認をすべて拒否し、代わりに当面の運用ニーズに合わせた正確な数値許容値を選択します。

3. ウォレットのポップアップに表示される関数署名を、その契約バージョンの公的に文書化された ABI エントリと照合します。

4. 潜在的な署名傍受ベクトルを排除するために、アクティブな NFT 取引セッション中に Web3 に関係のないブラウザ拡張機能を無効にします。

5. 受信者のアドレス、トークン ID、およびネットワーク料金の内訳を完全に視覚的に確認する前に、署名の提出が必要な取引を拒否します。

フィッシング防御メカニズム

1. 公式ドメイン名を手動で入力します。メール、Discord DM、または Twitter 通知からのリンクは、認証済みアカウントからのものであるように見える場合でも、決してクリックしないでください。

2. 同形異義語攻撃がないか URL 内の Unicode 文字を検査します。キリル文字の「а」とラテン語の「a」など、見た目は同一でも非 ASCII 文字を注意深く調べます。

3. DNSSEC を通じて検証され、プロジェクト所有の GitHub リポジトリで公開されているプラ​​イマリ ドメインのみをブックマークします。サードパーティのディレクトリやアグリゲータ サイトはブックマークしません。

4. 関連付けられているすべての電子メール アカウントで 2 要素認証を有効にし、可能な場合は SMS ベースの回復を無効にします。

5.一方的な NFT ドロップを危険なペイロードとして扱います。ウォレット インターフェイスを通じて開いたり、メタデータを表示したり、操作したりしないでください。

ハードウェアウォレットの強化

1. デバイスの初期セットアップは、オフラインのクリーンなオペレーティング システム インストールで実行します。ブラウジングや DeFi アクティビティに使用されるマシンでは決して行わないでください。

2. 初めて使用する前に、包装シールを物理的に検査します。改ざんの兆候があるハードウェアウォレットや事前設定されたファームウェアは破棄してください。

3. 署名された HTTPS エンドポイントから直接ダウンロードされたメーカー提供のファームウェア更新ツールのみを使用し、コミュニティ ミラーや暗号検証が不足している GitHub リリースは使用しません。

4. バックアップ フレーズは、紙、プラスチック、デジタル ファイルではなく、耐火性、耐腐食性の金属プレートに保存し、地理的に隔離された場所にフラグメントを配布します。

5. 制御された条件下でファームウェアのアップデートが明示的に必要でない限り、ハードウェア デバイスの Bluetooth および Wi-Fi 無線を無効にします。

オンチェーン検証の規律

1. マーケットプレイスの UI 表示のみに依存せず、オンチェーンで直接現在の所有者フィールドをクエリすることで、NFT の所有権ステータスを確認します。

2. パブリック ゲートウェイを介して IPFS ハッシュを手動で解決し、返されたコンテンツ ハッシュをオンチェーン値と比較することにより、メディア アセットの URI 解決パスを検証します。

3. 過去の取引ログを監査して、急速に連続する承認、説明のつかない残高減少、住所に関連付けられた予期しない契約の展開などの異常なパターンがないか確認します。

4. ウォレットインターフェイスのステータスインジケータを信頼するのではなく、リアルタイムのメモリプール検査ツールを介して保留中のトランザクションを監視します。

5. あなたのアドレスに関連付けられたすべての契約作成イベントを、検証済みの監査レポートにリストされている既知のコンパイラ バージョンおよびバイトコード フィンガープリントと照合します。

よくある質問

Q: 間違ったウォレットアドレスに送信されたNFTを回復できますか?宛先アドレスが有効で、別の当事者によって管理されている場合、回復は不可能です。ブロックチェーンの不変性により、確認された転送の取り消しが防止されます。

Q: Brave のようなプライバシーを重視したブラウザを使用すると、フィッシングのリスクは排除されますか?いいえ。ブラウザレベルの保護では、スマート コントラクトのロジックを検証したり、悪意のある Web サイトが偽造されたウォレット プロンプトを表示したりすることを防ぎません。

Q: NFT メタデータを集中サーバーに保存しても安全ですか?メタデータを AWS または同様のインフラストラクチャに保存すると、単一障害点と検閲の危険が生じます。Arweave や IPFS などの分散型の代替手段が強く推奨されます。

Q: 署名中にハードウェア ウォレットの画面が故障した場合はどうなりますか?表示に欠陥があると、重要な取引の詳細が不明瞭になる可能性があります。セカンダリの信頼できるデバイスまたはブロックチェーン エクスプローラーで、コントラクト アドレス、値、関数呼び出しを含むすべてのパラメーターを検証せずに続行しないでください。