私のウォレットを新しい DeFi プロトコルまたはミント Web サイトに接続しても安全ですか?

ウォレット接続のリスクを理解する

1. ウォレットを不慣れな DeFi プロトコルに接続すると、秘密鍵自体が送信されない場合でも、署名リクエストを通じて秘密鍵のメタデータが公開されます。

2. 悪意のあるインターフェイスは、ウォレット拡張機能の脆弱性や不正な UI パターンを悪用して、不正なトランザクション承認をトリガーする可能性があります。

3. 一部のサイトでは、最初の操作中に無制限のトークン許可を要求し、手動で取り消さない限り資産への永続的なアクセスを許可します。

4. 正規のプロトコルを模倣したフィッシング ドメインは、1 文字だけ異なるほぼ同一のブランドとスマート コントラクト アドレスを使用することがよくあります。

5. MetaMask のようなブラウザベースのウォレットは、契約の信頼性を検証しません。ユーザーは、署名する前にすべてのアドレスを検証する責任を負います。

スマートコントラクトの監査と検証

1. CertiK や OpenZeppelin などの評判の良い企業から公開されている監査レポートは安全性を保証しません。悪用されたプロトコルの多くは、未解決の重大度の高い調査結果を伴う監査を受けています。

2. Etherscan 上の検証済みソース コードは、チェーン上にデプロイされた正確なバイトコードと相互参照する必要があります。コンパイラのバージョンまたは最適化設定が一致しないと、検証が無効になる可能性があります。

3. 複数の相互依存コントラクトを展開するプロトコルでは、プライマリ トークンやステーキング コントラクトだけでなく、システム アーキテクチャ全体の監査が必要です。

4. 監査日は重要です。監査後にコードが変更されると、再監査して再発行しない限り、レポートは廃止されます。

5. アップグレード可能なプロキシ パターンを使用する契約では、管理キーとロジック契約の置き換えに関連する追加のリスク ベクトルが発生します。

リアルタイムの行動に関する危険信号

1. どのような権限が付与されているかについて明確なコンテキストを示さずに、「ログイン」または「ウォレットに接続」というラベルの付いたメッセージに署名するようユーザーに促すサイト。

2. ウォレット接続後に外部ドメインに自動リダイレクトするインターフェース、特に非 HTTPS または新しく登録されたドメインを持つインターフェース。

3. トランザクションごとの固定金額ではなく、トークン残高全体の承認を必要とするページの作成。

4. 透明な収益源を持たずに異常に高い APY を提供するプロトコル。多くの場合、実際の収益生成ではなくトークンの排出に依存しています。

5. オンチェーンのアクティビティ履歴の欠如 - トランザクションまたは流動性がゼロの新しく導入された契約は、直ちに警戒を引き起こす必要があります。

ウォレットレベルの保護対策

1. 探索には別のウォレットを使用します。最小限の資金を備えたウォレットを新しいプロトコルのテスト専用に割り当てます。

2. Etherscan Token ApprovalsやRevoke.cashなどのツールを使用して、未使用のトークン許可を定期的に取り消します。

3. ウォレット拡張機能の自動トランザクション ブロードキャストを無効にして、ガス制限、受信者アドレス、関数呼び出しの手動レビューを強制します。

4. 可能な場合はハードウェア ウォレットのサポートを有効にします。Ledger または Trezor 経由で署名すると、実行前に物理的な確認レイヤーが追加されます。

5. クラウド同期パスワード マネージャーにシード フレーズを保存しないようにします。オフライン ストレージは、依然として確実に安全な唯一の方法です。

よくある質問

Q: ウォレットに接続するだけで、Web サイトが私の秘密キーを盗む可能性がありますか? A: いいえ、ウォレット拡張機能は接続中に秘密キーを公開することはありません。ただし、悪意のあるサイトはユーザーをだまして、資産を譲渡したり、過剰な手当を付与したりする悪意のある取引に署名させる可能性があります。

Q: ENS 名が検証されていれば、DeFi サイトは信頼できるものになりますか? A: 必ずしもそうとは限りません。ENS 名は誰でも登録でき、基礎となるスマート コントラクトや運用の完全性についてのセキュリティ保証はありません。

Q: 新しいプロトコルとやり取りする場合、モバイル ウォレット アプリはブラウザ拡張機能よりも安全ですか? A: モバイル アプリは多くの場合、特定の署名タイプを制限し、カスタム RPC などの高度な機能をサポートしていないため、攻撃対象領域が減少します。ただし、ユーザーが承認したトランザクションは本質的な検証なしで実行されます。

Q: プロトコルのコントラクトが Etherscan で検証された場合、それは安全に使用できることを意味しますか? A: 検証では、コードがオンチェーンのバイトコードと一致することを確認しますが、ロジックの正確性、経済的な設計の欠陥、所有権の役割やガバナンス構造に組み込まれた集中化のリスクについては何も述べていません。