Trezor をフィッシング攻撃から守るにはどうすればよいでしょうか? (安全に関するヒント)

公式購入チャネルを確認する

1. Trezor デバイスは必ず trezor.io または公式 Web サイトに掲載されている認定再販業者から直接購入してください。

2. サードパーティのマーケットプレイス、ソーシャル メディア広告、非公式の Telegram/Discord グループからの購入は避けてください。

3. ドメインのスペルを注意深く確認してください。「trezor-store.com」や「trezor-official.net」などのタイプミスは、一般的なフィッシング トラップです。

4. 購入ページで個人情報または支払い情報を入力する前に、HTTPS と有効な SSL 証明書を確認してください。

5. 納品時に、シールの破れ、ラベルの不一致、USB ポートの変更など、改ざんの兆候がないかパッケージを検査してください。

安全なファームウェアとリカバリのセットアップ

1. 電子メール、SMS、または一方的な通知で受信したリンクからファームウェア アップデートをインストールしないでください。

2. 公式ブログで公開されている SHA256 チェックサムを確認した後、必ず trezor.io/firmware からファームウェアを手動でダウンロードしてください。

3. 12 ワードまたは 24 ワードのリカバリ シードを Trezor デバイスの画面上でのみ生成します。コンピュータや電話には決して入力しないでください。

4. ペンと紙を使用して種子を手動で書き留めます。決してデジタル保存したり、スクリーンショットを撮ったりしないでください。

5. セットアップ中に、デバイス自体に表示される公式の BIP-39 単語リストと照合して各単語を再確認します。

トランザクション確認のベストプラクティス

1. MetaMask や他のウォレット UI だけでなく、Trezor 画面でも受信者のアドレス、金額、ネットワーク料金を常に確認してください。

2. デバイスに見慣れない契約アドレスまたは予期しないトークン シンボルが表示されるトランザクションは拒否します。

3. 絶対に必要な場合を除き、独立した調査を通じて外部ツールの正当性を確認した場合に限り、「ブラインド署名」を無効にします。

4. Trezor Suite の組み込みブロックチェーン エクスプローラーを使用して、最終承認前に保留中のトランザクションをクロスチェックします。

5. デバイスが完全な詳細を表示せずに確認を求めるプロンプトを表示した場合は、すぐに接続を切断し、dApp ソースを調査します。

偽のウォレットインターフェイスを避ける

1. trezor.io をブックマークし、検証済みのサイト バッジがない検索エンジンの結果からは絶対にアクセスしないでください。

2. ページが Trezor Suite と同じように見えても、Web フォームに回復フレーズや PIN を入力しないでください。

3. MetaMask などのブラウザ拡張機能は、GitHub Gist や Discord ファイル共有ではなく、公式の Chrome Web ストアまたは Firefox アドオン ページからのみインストールします。

4. URL バーに微妙なスペルミスがないか確認します。「trezor-suite.app」、「trezorsuite.dev」、または「trezor-login.net」はすべて悪意のあるドメインです。

5. Trezor のパスフレーズ保護を有効にして、メモリ内にのみ存在する認証の 2 番目の層を追加します。

よくある質問

Q: フィッシング サイトは Trezor Suite のログイン画面を模倣できますか?はい。攻撃者は、アニメーションやレイアウトを含むインターフェースを完全に複製しますが、偽のフォームに入力された認証情報を傍受します。 Trezor Suite はオンラインでリカバリ シードを要求することはありません。

Q: Uniswap のような分散型取引所で Trezor を使用するのは安全ですか?はい - WalletConnect または直接 USB 経由で接続し、デバイス上ですべてのトランザクションを確認する場合。最初にスマート コントラクト アドレスを確認せずに、無制限のトークン割り当てを決して承認しないでください。

Q: フィッシング サイトに PIN を入力するとどうなりますか?何もありません - PIN はデバイス上でローカルでのみ使用されます。ただし、Web サイトにリカバリ フレーズまたはパスフレーズを入力すると、資産が即座に失われます。

Q: Trezor は Ledger と同様にフィッシング対策単語リストをサポートしていますか?いいえ。Trezor は、ドメインにバインドされたフィッシング対策ワードではなく、ハードウェアの分離と手動検証に依存しています。そのセキュリティ モデルは、ユーザーが物理ボタンを押す前に画面上のすべてのデータを検証することを前提としています。