# Web3 ユーザーオンチェーン取引安全ガイドブロックチェーンエコシステムの発展に伴い、オンチェーン取引はWeb3ユーザーの日常操作において重要な要素となっています。ユーザーの資産は徐々に中央集権的なプラットフォームから非中央集権的なネットワークへと移行しており、この傾向は資産の安全性に対する責任がプラットフォームからユーザー自身に移っていることを意味しています。オンチェーン環境では、ユーザーはウォレットのインポート、非中央集権的アプリケーションへのアクセス、署名権限の付与や取引の開始など、すべてのインタラクションに対して責任を持つ必要があります。不注意な操作が1回でも安全上のリスクを引き起こし、プライベートキーの漏洩、権限の濫用、フィッシング攻撃などの深刻な結果を招く可能性があります。主流のウォレットプラグインやブラウザは、フィッシング認識やリスク警告などの機能を徐々に統合していますが、ますます複雑化する攻撃手法に直面して、ツールの受動的な防御だけではリスクを完全に回避することは難しいです。ユーザーがオンチェーン取引における潜在的なリスクポイントをよりよく認識できるように、実践経験に基づいて全プロセスの高発生リスクシナリオを整理し、防御提案とツール使用のコツを組み合わせて、システマティックなオンチェーン取引セキュリティガイドを策定しました。これは、すべてのWeb3ユーザーが"自主制御"の安全ラインを構築するのを助けることを目的としています。安全な取引の基本原則:* **盲目的な署名を拒否：理解できない取引やメッセージには署名しないでください。*** **繰り返し確認：取引を行う前に、関連情報の正確性を必ず何度も確認してください。**## 1. 安全な取引のための提案安全な取引はデジタル資産を保護するための鍵です。研究によれば、安全なウォレットと二段階認証（2FA）を使用することでリスクを大幅に低減できることが示されています。以下は具体的な提案です：* 安全なウォレットを使用する：評判の良いウォレットプロバイダーを選択してください。ハードウェアウォレットや有名なソフトウェアウォレットなどがあります。ハードウェアウォレットはオフラインストレージを提供し、オンライン攻撃のリスクを減少させ、大量の資産を保存するのに適しています。* 取引の詳細を二重チェックする：取引を確認する前に、常に受取先アドレス、金額、およびネットワーク（例えば、正しいチェーン、Ethereumや他の互換性のあるチェーンなどを使用していることを確認する）を検証して、入力ミスによる損失を避けてください。* 2段階認証(2FA)を有効にします。取引プラットフォームやウォレットが2FAをサポートしている場合は、特にホットウォレットを使用する際に、アカウントの安全性を高めるために必ず有効にしてください。* 公共のWi-Fiの使用を避ける：公共のWi-Fiネットワーク上で取引を行わないでください。フィッシング攻撃や中間者攻撃を防ぐためです。## 二、どのように安全な取引を行う完全な分散型アプリケーション取引プロセスは、複数のステップで構成されています：ウォレットのインストール、アプリへのアクセス、ウォレットの接続、メッセージの署名、取引の署名、取引後の処理。各ステップには一定のセキュリティリスクが存在し、以下では実際の操作における注意事項を順に紹介します。**1. ウォレットのインストール：**現在、分散型アプリケーションの主流の使用方法は、ブラウザプラグインウォレットを通じてのインタラクションです。イーサリアムおよび互換チェーンで使用される主流のウォレットには、いくつかの選択肢があります。Chrome拡張機能ウォレットをインストールする際は、公式アプリストアからダウンロードしてインストールすることを確認し、第三者のウェブサイトからのインストールを避けて、バックドアを持つウォレットソフトウェアのインストールを防ぐことが重要です。条件が整っているユーザーには、ハードウェアウォレットと併用することをお勧めし、秘密鍵の保管において全体的なセキュリティをさらに向上させることが推奨されます。ウォレットのバックアップシードフレーズをインストールする際（通常は12〜24語のリカバリーフレーズ）、デジタルデバイスから離れた安全な場所に保管することをお勧めします（例えば、紙に書いて金庫に保管するなど）。**2. 分散型アプリにアクセス**ウェブフィッシングはWeb3攻撃において一般的な手法です。典型的なケースは、エアドロップを名目にユーザーをフィッシングアプリに誘導し、ユーザーがウォレットを接続した後にトークンの承認、送金取引、またはトークンの承認サインを促すことで、資産の損失を引き起こします。したがって、ユーザーは分散型アプリケーションにアクセスする際に警戒を保ち、ウェブフィッシングの罠に陥らないようにする必要があります。アプリにアクセスする前に、URLの正確性を確認してください。推奨：* 検索エンジンを介して直接アクセスしないでください：フィッシング攻撃者は広告スペースを購入することで、フィッシングサイトのランキングを上げる可能性があります。* ソーシャルメディアのリンクをクリックしない：コメントやメッセージに投稿されたURLはフィッシングリンクである可能性があります。* アプリケーションのURLの正確性を繰り返し確認する：複数の信頼できるデータプラットフォームやプロジェクトの公式SNSアカウントなどを通じて、確認することができます。* 安全なウェブサイトをブラウザのお気に入りに追加：今後はお気に入りから直接アクセスします。アプリのウェブページを開いた後、アドレスバーの安全チェックも行う必要があります：* ドメイン名とURLが偽造品に似ているか確認してください。* HTTPSリンクであるか確認してください。ブラウザは鍵🔒のマークを表示する必要があります。現在市場に出回っている主流のプラグインウォレットも、リスク警告機能を一定程度統合しており、リスクのあるURLにアクセスする際に強い警告を表示することができます。**3. ウォレットを接続する**アプリに入ると、自動的にまたは「Connect」をクリックした後に、ウォレット接続の操作がトリガーされる場合があります。プラグインウォレットは、現在のアプリに対していくつかのチェックや情報表示などを行います。ウォレットを接続した後、通常はユーザーが他の操作を行わない限り、アプリはプラグインウォレットを自動的に呼び出しません。サイトがログイン後に頻繁にウォレットを呼び出してメッセージに署名するよう要求したり、取引に署名させたり、さらには署名を拒否した後もサイン要求が繰り返し表示される場合、フィッシングサイトの可能性が高く、慎重に対処する必要があります。**4. メッセージ署名**極端な状況では、たとえば攻撃者がプロトコルの公式ウェブサイトを攻撃したり、フロントエンドハイジャックなどの攻撃を通じて、ページの内容を置き換えた場合、一般ユーザーはこのようなシナリオでウェブサイトの安全性を識別することが非常に難しい。この時、プラグインウォレットの署名はユーザーが自身の資産を守るための最終的な障壁です。悪意のある署名を拒否すれば、資産の損失を防ぐことができます。ユーザーは、任意のメッセージや取引に署名する際、署名内容を慎重に確認し、盲目的な署名を拒否することで、資産の損失を避けるべきです。一般的な署名タイプには、* eth_sign：ハッシュデータに署名します。* personal_sign：明文情報に署名するもので、ユーザーのログイン検証や許可契約の確認時に最も一般的です。※eth_signTypedData(EIP-712):ERC20の許可証やNFTの注文などに一般的に使用される、構造化データの署名**5. トランザクション署名**取引署名は、ブロックチェーン取引を認可するために使用されます。例えば、送金やスマートコントラクトの呼び出しなどです。ユーザーは秘密鍵を使って署名し、ネットワークは取引の有効性を検証します。現在、多くのプラグインウォレットは署名待ちのメッセージをデコードし、関連内容を表示します。必ず盲目的な署名を避ける原則に従ってください。安全に関する提案：* 受取人のアドレス、金額、ネットワークを慎重に確認し、間違いを避けてください。* 大規模な取引はオフライン署名をお勧めします。オンライン攻撃のリスクを減らすためです。* ガス料金に注意し、合理的であることを確認し、詐欺を避けてください。一定の技術的な知識を持つユーザーは、いくつかの一般的な手動チェック方法を使用することもできます：インタラクションのターゲットコントラクトアドレスをブロックチェーンブラウザにコピーしてレビューを行うことができます。レビュー内容には、コントラクトがオープンソースであるかどうか、最近大量の取引が存在するかどうか、そしてそのアドレスに公式ラベルまたは悪意のあるラベルが付けられているかどうかなどが含まれます。**6. 取引後の処理**フィッシングウェブサイトや悪意のある署名を回避したからといって、すべてが順調というわけではありません。取引後もリスク管理を行う必要があります。取引後は、取引のオンチェーン状況を適時確認し、署名時に期待した状態と一致しているかどうかを確認してください。異常が見つかった場合は、速やかに資産移動や権限解除などの損失回避操作を行ってください。ERC20 Approvalの管理も非常に重要です。いくつかのケースでは、ユーザーが特定の契約に対してトークンを承認した後、数年後にこれらの契約が攻撃を受け、攻撃者は攻撃された契約のトークン承認額を利用してユーザーの資金を盗みました。このような状況を避けるために、私たちはユーザーに以下の基準に従ってリスクを防ぐことをお勧めします。* 最小限の承認。トークンの承認を行う際は、取引のニーズに応じて、対応するトークンの数量を制限した承認を行う必要があります。例えば、ある取引で100 USDTの承認が必要な場合、この承認数量は100 USDTに制限され、デフォルトの無制限承認を使用しないようにしてください。* 不要なトークンの承認を適時に取り消してください。ユーザーは関連ツールにログインして、対応するアドレスの承認状況を確認できます。長期間インタラクションがないプロトコルの承認を取り消すことで、プロトコルに後続の脆弱性が存在することを防ぎ、ユーザーの承認額を利用して資産損失を引き起こすことを防ぎます。## III. 資金分掌戦略リスク意識を持ち、十分なリスク防止策を講じた上で、極端な状況において資金の損失を軽減するために、効果的な資金の隔離を行うことをお勧めします。推奨戦略は以下の通りです：* 大額資産をマルチシグウォレットまたはコールドウォレットに保管する；* プラグインウォレットまたはEOAウォレットをホットウォレットとして日常的なインタラクションに使用する；* 定期的にホットウォレットアドレスを変更し、アドレスがリスク環境にさらされ続けるのを防ぎます。もしうっかりフィッシングに遭った場合は、損失を減らすために以下の措置をすぐに実行することをお勧めします：* 関連ツールを使用して高リスクの認可をキャンセルする；* permit サインが署名されたが、資産がまだ移転されていない場合は、古いサインの nonce を無効にするために新しいサインを即座に開始できます；* 必要に応じて、残りの資産を新しいアドレスまたはコールドウォレットに迅速に移動します。## 四、エアドロップ活動に安全に参加する方法エアドロップはブロックチェーンプロジェクトのプロモーションによく使われる手法ですが、その中にはリスクも潜んでいます。以下は幾つかの提案です：* プロジェクトの背景調査：プロジェクトに明確なホワイトペーパー、公開されたチーム情報、コミュニティの評判があることを確認する；* 専用アドレスを使用：専用のウォレットとメールを登録し、メインアカウントのリスクを分離する；* リンクを慎重にクリックしてください：公式のチャネルを通じてエアドロップ情報を取得し、ソーシャルプラットフォーム内の疑わしいリンクをクリックしないでください；## 五、プラグインツールの選択と使用の提案ブロックチェーンのセキュリティガイドラインには多くの内容があり、毎回のインタラクションで詳細なチェックを行うことができない可能性があります。安全なプラグインを選択することが非常に重要で、リスク判断を助けてくれます。以下は具体的な提案です：* 信頼できる拡張機能：多くの人が一般的に使用しているブラウザ拡張機能を使用してください。これらのプラグインはウォレット機能を提供し、オンチェーンアプリとの相互作用をサポートします。* 評価の確認：新しいプラグインをインストールする前に、ユーザー評価とインストール数を確認してください。高い評価と多数のインストールは通常、プラグインがより信頼できることを示し、悪意のあるコードのリスクを減少させます。* 更新を維持：最新のセキュリティ機能と修正を得るために、定期的にプラグインを更新してください。期限切れのプラグインには既知の脆弱性が含まれている可能性があり、攻撃者に利用されやすくなります。## VI. おわりに上記の安全な取引ガイドラインに従うことで、ユーザーはますます複雑化するブロックチェーンエコシステムの中で、より余裕を持って相互作用し、資産の保護能力を実際に向上させることができます。ブロックチェーン技術は非中央集権と透明性をコアの利点としていますが、これはユーザーが署名フィッシング、秘密鍵の漏洩、悪意のあるアプリケーションなどの複数のリスクに独立して対処する必要があることも意味します。真の安全なオンチェーンを実現するためには、ツールの警告に依存するだけでは不十分であり、体系的な安全意識と操作習慣を築くことが重要です。ハードウェアウォレットの使用、資金隔離戦略の実施、権限の定期的な確認やプラグインの更新などの防護措置を講じ、取引操作において「多重検証、ブラインドサインの拒否、資金隔離」の理念を貫くことで、初めて「自由で安全なオンチェーン」が実現できます。
ブロックチェーン取引の安全を掌握し、Web3資産防御システムを構築する
Web3 ユーザーオンチェーン取引安全ガイド
ブロックチェーンエコシステムの発展に伴い、オンチェーン取引はWeb3ユーザーの日常操作において重要な要素となっています。ユーザーの資産は徐々に中央集権的なプラットフォームから非中央集権的なネットワークへと移行しており、この傾向は資産の安全性に対する責任がプラットフォームからユーザー自身に移っていることを意味しています。オンチェーン環境では、ユーザーはウォレットのインポート、非中央集権的アプリケーションへのアクセス、署名権限の付与や取引の開始など、すべてのインタラクションに対して責任を持つ必要があります。不注意な操作が1回でも安全上のリスクを引き起こし、プライベートキーの漏洩、権限の濫用、フィッシング攻撃などの深刻な結果を招く可能性があります。
主流のウォレットプラグインやブラウザは、フィッシング認識やリスク警告などの機能を徐々に統合していますが、ますます複雑化する攻撃手法に直面して、ツールの受動的な防御だけではリスクを完全に回避することは難しいです。ユーザーがオンチェーン取引における潜在的なリスクポイントをよりよく認識できるように、実践経験に基づいて全プロセスの高発生リスクシナリオを整理し、防御提案とツール使用のコツを組み合わせて、システマティックなオンチェーン取引セキュリティガイドを策定しました。これは、すべてのWeb3ユーザーが"自主制御"の安全ラインを構築するのを助けることを目的としています。
安全な取引の基本原則:
1. 安全な取引のための提案
安全な取引はデジタル資産を保護するための鍵です。研究によれば、安全なウォレットと二段階認証（2FA）を使用することでリスクを大幅に低減できることが示されています。以下は具体的な提案です：
評判の良いウォレットプロバイダーを選択してください。ハードウェアウォレットや有名なソフトウェアウォレットなどがあります。ハードウェアウォレットはオフラインストレージを提供し、オンライン攻撃のリスクを減少させ、大量の資産を保存するのに適しています。
取引を確認する前に、常に受取先アドレス、金額、およびネットワーク（例えば、正しいチェーン、Ethereumや他の互換性のあるチェーンなどを使用していることを確認する）を検証して、入力ミスによる損失を避けてください。
取引プラットフォームやウォレットが2FAをサポートしている場合は、特にホットウォレットを使用する際に、アカウントの安全性を高めるために必ず有効にしてください。
公共のWi-Fiネットワーク上で取引を行わないでください。フィッシング攻撃や中間者攻撃を防ぐためです。
二、どのように安全な取引を行う
完全な分散型アプリケーション取引プロセスは、複数のステップで構成されています：ウォレットのインストール、アプリへのアクセス、ウォレットの接続、メッセージの署名、取引の署名、取引後の処理。各ステップには一定のセキュリティリスクが存在し、以下では実際の操作における注意事項を順に紹介します。
1. ウォレットのインストール：
現在、分散型アプリケーションの主流の使用方法は、ブラウザプラグインウォレットを通じてのインタラクションです。イーサリアムおよび互換チェーンで使用される主流のウォレットには、いくつかの選択肢があります。
Chrome拡張機能ウォレットをインストールする際は、公式アプリストアからダウンロードしてインストールすることを確認し、第三者のウェブサイトからのインストールを避けて、バックドアを持つウォレットソフトウェアのインストールを防ぐことが重要です。条件が整っているユーザーには、ハードウェアウォレットと併用することをお勧めし、秘密鍵の保管において全体的なセキュリティをさらに向上させることが推奨されます。
ウォレットのバックアップシードフレーズをインストールする際（通常は12〜24語のリカバリーフレーズ）、デジタルデバイスから離れた安全な場所に保管することをお勧めします（例えば、紙に書いて金庫に保管するなど）。
2. 分散型アプリにアクセス
ウェブフィッシングはWeb3攻撃において一般的な手法です。典型的なケースは、エアドロップを名目にユーザーをフィッシングアプリに誘導し、ユーザーがウォレットを接続した後にトークンの承認、送金取引、またはトークンの承認サインを促すことで、資産の損失を引き起こします。
したがって、ユーザーは分散型アプリケーションにアクセスする際に警戒を保ち、ウェブフィッシングの罠に陥らないようにする必要があります。
アプリにアクセスする前に、URLの正確性を確認してください。推奨：
アプリのウェブページを開いた後、アドレスバーの安全チェックも行う必要があります：
現在市場に出回っている主流のプラグインウォレットも、リスク警告機能を一定程度統合しており、リスクのあるURLにアクセスする際に強い警告を表示することができます。
3. ウォレットを接続する
アプリに入ると、自動的にまたは「Connect」をクリックした後に、ウォレット接続の操作がトリガーされる場合があります。プラグインウォレットは、現在のアプリに対していくつかのチェックや情報表示などを行います。
ウォレットを接続した後、通常はユーザーが他の操作を行わない限り、アプリはプラグインウォレットを自動的に呼び出しません。サイトがログイン後に頻繁にウォレットを呼び出してメッセージに署名するよう要求したり、取引に署名させたり、さらには署名を拒否した後もサイン要求が繰り返し表示される場合、フィッシングサイトの可能性が高く、慎重に対処する必要があります。
4. メッセージ署名
極端な状況では、たとえば攻撃者がプロトコルの公式ウェブサイトを攻撃したり、フロントエンドハイジャックなどの攻撃を通じて、ページの内容を置き換えた場合、一般ユーザーはこのようなシナリオでウェブサイトの安全性を識別することが非常に難しい。
この時、プラグインウォレットの署名はユーザーが自身の資産を守るための最終的な障壁です。悪意のある署名を拒否すれば、資産の損失を防ぐことができます。ユーザーは、任意のメッセージや取引に署名する際、署名内容を慎重に確認し、盲目的な署名を拒否することで、資産の損失を避けるべきです。
一般的な署名タイプには、
5. トランザクション署名
取引署名は、ブロックチェーン取引を認可するために使用されます。例えば、送金やスマートコントラクトの呼び出しなどです。ユーザーは秘密鍵を使って署名し、ネットワークは取引の有効性を検証します。現在、多くのプラグインウォレットは署名待ちのメッセージをデコードし、関連内容を表示します。必ず盲目的な署名を避ける原則に従ってください。安全に関する提案：
一定の技術的な知識を持つユーザーは、いくつかの一般的な手動チェック方法を使用することもできます：インタラクションのターゲットコントラクトアドレスをブロックチェーンブラウザにコピーしてレビューを行うことができます。レビュー内容には、コントラクトがオープンソースであるかどうか、最近大量の取引が存在するかどうか、そしてそのアドレスに公式ラベルまたは悪意のあるラベルが付けられているかどうかなどが含まれます。
6. 取引後の処理
フィッシングウェブサイトや悪意のある署名を回避したからといって、すべてが順調というわけではありません。取引後もリスク管理を行う必要があります。
取引後は、取引のオンチェーン状況を適時確認し、署名時に期待した状態と一致しているかどうかを確認してください。異常が見つかった場合は、速やかに資産移動や権限解除などの損失回避操作を行ってください。
ERC20 Approvalの管理も非常に重要です。いくつかのケースでは、ユーザーが特定の契約に対してトークンを承認した後、数年後にこれらの契約が攻撃を受け、攻撃者は攻撃された契約のトークン承認額を利用してユーザーの資金を盗みました。このような状況を避けるために、私たちはユーザーに以下の基準に従ってリスクを防ぐことをお勧めします。
III. 資金分掌戦略
リスク意識を持ち、十分なリスク防止策を講じた上で、極端な状況において資金の損失を軽減するために、効果的な資金の隔離を行うことをお勧めします。推奨戦略は以下の通りです：
もしうっかりフィッシングに遭った場合は、損失を減らすために以下の措置をすぐに実行することをお勧めします：
四、エアドロップ活動に安全に参加する方法
エアドロップはブロックチェーンプロジェクトのプロモーションによく使われる手法ですが、その中にはリスクも潜んでいます。以下は幾つかの提案です：
五、プラグインツールの選択と使用の提案
ブロックチェーンのセキュリティガイドラインには多くの内容があり、毎回のインタラクションで詳細なチェックを行うことができない可能性があります。安全なプラグインを選択することが非常に重要で、リスク判断を助けてくれます。以下は具体的な提案です：
VI. おわりに
上記の安全な取引ガイドラインに従うことで、ユーザーはますます複雑化するブロックチェーンエコシステムの中で、より余裕を持って相互作用し、資産の保護能力を実際に向上させることができます。ブロックチェーン技術は非中央集権と透明性をコアの利点としていますが、これはユーザーが署名フィッシング、秘密鍵の漏洩、悪意のあるアプリケーションなどの複数のリスクに独立して対処する必要があることも意味します。
真の安全なオンチェーンを実現するためには、ツールの警告に依存するだけでは不十分であり、体系的な安全意識と操作習慣を築くことが重要です。ハードウェアウォレットの使用、資金隔離戦略の実施、権限の定期的な確認やプラグインの更新などの防護措置を講じ、取引操作において「多重検証、ブラインドサインの拒否、資金隔離」の理念を貫くことで、初めて「自由で安全なオンチェーン」が実現できます。