悪意のあるスマートコントラクトの許可を特定して取り消すにはどうすればよいですか? (ウォレットセキュリティ)

契約許可のリスクを理解する

1. イーサリアムおよび EVM 互換チェーン上のスマート コントラクトは、多くの場合、approve()関数またはsetApprovalForAll()関数を介してユーザーのウォレットに保持されているトークンを使用する承認を要求します。

2. 悪意のある攻撃者は、正規の DeFi プロトコルを模倣した偽造契約を展開し、ユーザーを騙して未知のアドレスに無制限の許可を付与させます。

3. 承認されると、これらの契約はユーザーの介入なしでいつでもトークンを排出できます。引き出しのたびにトランザクション署名は必要ありません。

4. 単一の侵害された承認は、手動で取り消さない限り何年にもわたって存続し、最初のやり取りが忘れられた後でも資産が露出する可能性があります。

5. ウォレットのインターフェイスではアクティブな許可が強調表示されることはほとんどないため、技術者以外のユーザーには許可の衛生状態が見えません。

アクティブな承認を検出するツール

1. Etherscan の [Token Approvals] タブでは、ユーザーが自分のウォレット アドレスを貼り付け、トークン、支出者、および許容量ごとに並べ替えられたすべての ERC-20 および ERC-721 の承認を表示できます。

2. Revoke.cash は、さまざまなトークンにわたるバッチ取り消しのサポートを含め、1 つのトランザクションで複数の許可をスキャンして取り消すためのクリーンなインターフェイスを提供します。

3. BlockSec の Token Approvals Checker は、ブラウザ拡張機能として MetaMask と統合されており、dApp が過剰または不審な許可を要求すると、リアルタイムの警告を表示します。

4. Tenderly のダッシュボードには、ウォレットのアクティビティに関連付けられた承認イベントの履歴が表示され、いつ、どこで権限が付与されたのかをフォレンジック分析できます。

5. Arbiscan や Basescan などのブロックチェーン エクスプローラーは、それぞれの L2 エコシステム用に Etherscan の承認ツールを複製し、クロスチェーンの可視性を確保します。

失効の仕組みとガスに関する考慮事項

1. アローワンスを取り消すには、approve(spender, 0)を呼び出す新しいトランザクションを送信して、事実上アローアンスをゼロにリセットする必要があります。

2. 一部の古いトークンは、セッション中の許容量の減少をサポートしていません。完全な取り消しは、現在の許容量が要求された値と等しい場合にのみ成功します。

3. 失効のガス料金は大幅に異なります。イーサリアムメインネットでは 45,000 ガスから 65,000 ガスの範囲ですが、Arbitrum と Base では通常 10,000 ガス未満です。

4. ラップまたはリブランドされたトークンを操作するユーザーは、重複するシンボル (「USDC」など) がまったく異なる実装を指している可能性があるため、基礎となるコントラクト アドレスを確認する必要があります。

5. Rabby や Phantom などの特定のウォレットは、ネイティブの取り消しフローを UI に直接埋め込んでおり、サードパーティのサイトへの依存を減らし、フィッシングのリスクを最小限に抑えます。

承認プロンプト中の行動上の危険信号

1. dApp がそのプラットフォームで使用したことのないトークンの無制限の許可を要求すると、即座に懐疑的な見方を引き起こすはずです。たとえ評判の良いプロトコルであってもこれを要求することはめったにありません。

2. 支出者の住所や検証済みの契約ソース コードへのリンクを開示せずに「続行を承認する」と表示されるポップアップは、透明性が低いことを示しています。

3. Etherscan で検証済みのソース コードがない、トランザクション量が少ない、または最近展開されたアドレス（30 日未満）の契約には、高いリスクが伴います。

4. ウォレットに接続した直後、意味のある対話の前に表示されるプロンプトは、機能的な必要性ではなく、積極的な権限の取得を示唆しています。

5. アニメーション要素の背後にある「承認」ボタンを隠したり、ユーザーが重要な警告を過ぎて自動スクロールしたりするインターフェイスは、アテンション エコノミーの脆弱性を悪用します。

よくある質問

Q: トランザクションを送信せずに承認を取り消すことはできますか? A: いいえ。取り消しは、署名されたトランザクションを必要とするオンチェーン状態の変更です。オフチェーン ツールはブロックチェーン ストレージを変更できません。

Q: ウォレットを dApp から切断すると、トークンの承認は自動的に取り消されますか? A: いいえ。ウォレットの切断はセッションのメタデータのみを切断します。トークンの割り当ては、コントラクト呼び出しによって明示的にリセットされるまでアクティブのままです。

Q: ステーキングポジションが有効なときにアローワンスを取り消した場合はどうなりますか? A: 取り消しは、既存のステーク残高や蓄積された報酬には影響しません。ただし、プロトコルがその特定の許容量に依存している場合、将来の入金または引き出しが妨げられる可能性があります。

Q: NFT の承認は、ERC-20 の承認と同じ方法で取り消すことができますか? A: はい。コレクションのsetApprovalForAll()承認は、 setApprovalForAll(spender, false)を使用して取り消すことができます。仕組みとガスへの影響は同じです。