ウォレットコネクト機能を安全に使用するにはどうすればよいですか?

WalletConnect プロトコルの基礎を理解する

1. WalletConnect はオープンソースの分散型中継プロトコルとして動作し、秘密鍵を公開することなくウォレットと dApp 間の安全な通信を可能にします。

2. メッセージ転送仲介としてのみブリッジ サーバーを使用します。セッション データや暗号化マテリアルはリレーに保存されません。

3. すべてのセッションは、暗号化されたメタデータを含む一意のペアリング URI で開始され、信頼境界を確立するためにスキャンまたはディープリンクされます。

4. このプロトコルは厳密なオリジン検証を強制します。dApps はセッションの提案中にドメインとチェーン ID を宣言する必要があり、ウォレットは承認前にこれらの詳細を表示します。

5. セッション暗号化は、ウォレットと dApp 間の ECDH キー交換に依存し、すべてのペイロード暗号化に使用されるセッションごとの AES-256 対称キーを生成します。

モバイルウォレットの設定を保護する

1. MetaMask Mobile は常に公式アプリ ストアからのみダウンロードしてください。サードパーティの APK は悪意のある署名フックを挿入する可能性があります。

2. ウォレット設定で生体認証を有効にし、すべてのトランザクションまたはセッションの承認に指紋または顔の認証が必要になるようにします。

3. 60 秒を超える自動ロックのタイムアウトを無効にします。ロック間隔が短いと、デバイスを放置した場合の暴露が減少します。

4. 「すべてのメッセージに署名する」権限を決して付与しないでください。各署名リクエスト、特に 16 進数でエンコードされたペイロードまたは生のバイトを含むリクエストを個別に確認してください。

5. [設定] > [セキュリティ] > [接続されたサイト] で接続されている dApp を定期的に監査し、未使用または疑わしいオリジンのアクセスを取り消します。

DApp インタラクション中の安全な接続の実践

1. [ウォレットに接続] をクリックする前に、dApp のドメイン名と SSL 証明書を手動で確認します。タイポスクワッティング サイトは正規のインターフェイスを模倣していることがよくあります。

2. セッションを承認する前に、表示されたネットワークが意図と一致していることを確認します (例: Ethereum Mainnet と Sepolia Testnet)。

3. 明確な理由がない限り、「トランザクション履歴の読み取り」や「スワップの自動承認」などの不必要な権限を要求する接続リクエストを拒否します。

4. スクリーンショットや転送された画像から QR コードをスキャンすることは避け、信頼できる dApp ドメインによって生成されたライブの画面上のコードのみをスキャンしてください。

5. 見慣れない契約アドレスを参照するトランザクション、特に Etherscan または Blockscout で検証済みのソース コードが不足しているトランザクションに署名する前に一時停止してください。

セッションレベルの暗号化保護機能

1. 各 WalletConnect v2 セッションは、特定のチェーン ID とオプションのアカウント名前空間にバインドされ、クロスチェーン リプレイ攻撃を防ぎます。

2. すべてのペイロードはウォレットのアクティブなアカウント キーを使用して署名され、メッセージの重複や遅延ベースの悪用を防ぐためにタイムスタンプ付きのセッション ID が含まれます。

3. 暗号化キーはクライアント デバイス上にのみ存在するため、リレー サーバーは、侵害された場合でもペイロードを復号化できません。

4. WalletConnect v2 ではトピックベースの暗号化が導入されており、各セッションには共有シークレットとソルトから派生した固有のトピックがあり、メッセージ ストリームが分離されます。

5. メッセージの整合性は、送信前に暗号化されたペイロードとセッション メタデータに基づいて計算された HMAC-SHA256 署名によって強制されます。

よくある質問

Q1.悪意のある dApp が WalletConnect を通じて私の秘密キーを抽出する可能性はありますか?いいえ、WalletConnect は秘密キー、シード フレーズ、または復号化された署名素材を送信することはありません。署名はウォレットの安全な領域内でのみ行われます。

Q2. WalletConnect セッションがアクティブなときに携帯電話を紛失した場合はどうなりますか?アクティブなセッションは、手動で切断されるか期限切れになるまで有効です。別の承認されたデバイスを介して直ちにそれらを取り消すか、新しいデバイスでウォレットを復元してリモートで切断する必要があります。

Q3.公衆 Wi-Fi 経由で WalletConnect を使用するのは安全ですか?はい、すべてのセッション トラフィックはエンドツーエンドで暗号化されるためです。ただし、エンドポイントが侵害される可能性があるため、機密の資格情報を入力したり、信頼されていないネットワーク上で高額のトランザクションを実行したりすることは避けてください。

Q4.既知のプラットフォームに接続している場合でも、ウォレットに「不明な dApp」と表示されるのはなぜですか?これは、dApp がセッション提案でメタデータ (名前、アイコン、URL) を適切に宣言できない場合に発生します。承認する前に、生のセッション リクエストの詳細を必ず検査してください。