Xで見た「エアドロップ受け取り」は危ない？偽claimサイトと署名の確かめ方

X（旧Twitter）のリプライ欄や広告、見覚えのないDMで「新しいDeFiプロジェクトのエアドロップを配布中」「期限内にclaim（受け取り）を」と案内されたら、リンク先でウォレットを接続する前に手を止めてください。無料配布のはずのエアドロップで資産を失う相談は、日本暗号資産等取引業協会（JVCEA）やFBIも具体的に注意を呼びかけています。受け取りの操作に見えて、実際にはトークンの使用許可や署名を相手に渡している場合があるからです。この記事では、Xで広がる誘導の型、署名画面のどこを見ればよいか、本物の配布かを確かめる順番、そして接続・署名してしまった後の対処をまとめます。

Xで「エアドロップ」を名乗る誘導が広がる仕組み

エアドロップは、新しいプロジェクトが利用者を増やす目的でトークンを無償配布することを指します。実在する仕組みであるぶん、偽の案内も紛れ込みやすくなっています。Xで目にする誘導には、次のような型があります。

• 公式アカウントへの返信に紛れる投稿：有名プロジェクトの投稿に、名前とアイコンをまねたアカウントが「配布はこちら」とリンク付きで返信する
• 広告枠を使った投稿：実在の団体名や取引所名を名乗り、期間限定の配布をうたう
• 突然のDM：「あなたのウォレットが対象に選ばれた」と個別に連絡してくる
• ウォレットに届いた見知らぬトークン：受け取った覚えのないトークンに、交換や受け取りのためのサイト名が書かれている

JVCEAは2024年7月、X上で協会や会員事業者の名前をかたり、取引所の登録ユーザーに給付金を支給するとうたう投稿が確認されたとして、協会とは一切関係がないと注意を出しました。また協会の詐欺対策ページでは、「ウォレットを接続すれば報酬がもらえる」「エアドロップに参加できる」と誘導して資産を盗む手口を、なりすまし・偽アカウントの典型例として挙げています。

ethereum.orgのセキュリティ解説も、詐欺プロジェクトがトークンやNFTをウォレットに送りつけ、それを受け取るための詐欺サイトへ誘導する手口をエアドロップ詐欺として説明しています。見知らぬトークンが届いても、そこに書かれたサイトは開かないのが基本です。

「受け取るだけ」のはずが資産を失う3つの経路

偽のclaimサイトは、ボタンを押させることで次のいずれかを実行させようとします。どれも画面上は「受け取り」「認証」「接続」といった穏やかな言葉で表示されがちです。

1. トークンの使用承認（approve）

ERC-20と呼ばれるトークンの規格には、特定のアドレスに「自分の代わりにこの量まで動かしてよい」と許可を出す機能があります。偽サイトはこれを使い、USDTやETH系トークンの使用を無制限に許可させます。承認は取り消すまで有効なため、その場では何も起きなくても、あとから残高が引き出されることがあります。NFTの場合は、コレクション全体の移動を許す「setApprovalForAll」が使われることもあります。

2. ガス代のかからない「署名」

EIP-2612として標準化された「permit」は、ブロックチェーンに取引を送らず、署名だけで承認と同じ効果を持たせる仕組みです。手数料がかからず画面も短いため、「ログインのための署名」と誤解しやすい点に注意が必要です。署名のあとで相手がその内容を使って承認を成立させ、資金を移します。

3. シードフレーズや秘密鍵の入力

「ウォレットの同期が必要」「本人確認のため12語を入力」などと表示するフォームは、ウォレットそのものを渡す行為になります。JVCEAも、秘密鍵やリカバリーフレーズは「本人確認」や「復元」の名目であっても入力・共有しないよう求めています。電話でフレーズを聞き出すケースについてはシードフレーズを聞かれた・伝えた場合の記事で扱っています。

ウォレットの確認画面で見るべき4か所

ウォレットアプリは、承認や署名の前に確認画面を出します。慌てて「確認」を押さず、少なくとも次の4か所を読んでください。

ウォレットによっては、署名内容が英語の構造化データ（Permit、spender、value、deadline など）でそのまま表示されます。意味が読み取れない署名は、読める人に確認できるまで保留にするのが安全です。エアドロップの受け取りに、手元のトークンを動かす許可が必要になる理由は通常ありません。

もう一つの目安は、受け取りの前に「手数料」「ガス代の立て替え」として暗号資産の送金を求められるかどうかです。米国の証券取引委員会（SEC）の投資家向け警告は、出金の前に手数料や税金を払わせる前払い型（advance fee）の詐欺を典型例に挙げています。受け取りの前に払わせる構図も、これと変わりません。

本物の配布かどうかを確かめる順番

Xの投稿そのものから真偽を見抜くのは難しいため、投稿の外側で確認する手順を決めておくと迷いが減ります。

1. リンクは開かず、プロジェクト名だけを控える。投稿や広告のURLは使いません。
2. 公式サイトを自分で探す。以前から使っているブックマークや、プロジェクトのドキュメント、信頼できる情報源から辿ります。検索広告の上位に偽サイトが表示される例があることは、JVCEAも指摘しています。
3. 公式アカウントの固定投稿やお知らせと照らし合わせる。配布の有無、対象条件、受け取り期間、受け取り用のURLが一致するかを見ます。
4. 「今日まで」「残りわずか」などの期限表示を疑う。急がせる文言は判断の時間を奪う典型的な手法です。
5. 受け取りは、資産を入れていない別のウォレットで行う。本物だと判断した場合でも、主要な資産を置いたウォレットはつながないようにします。

FBIは2025年6月、非カストディアル（自己管理型）ウォレットの利用者に無料トークンのエアドロップを装ったメールを送り、リンクからウォレットを接続させて資産を移す手口について公共広告を出しています。そこでも、自分で申し込んでいない配布の案内は、提供元に確認してから応じるよう勧めています。経路はメールでもXでも、確認の順番は同じです。

接続・署名してしまった後の対応

偽サイトでボタンを押したかもしれないと気づいたら、何をしたのかを思い出しながら、次の順で進めます。

• 接続しただけ：ウォレットアプリの「接続済みサイト」から該当サイトの接続を解除します。承認や署名をしていなければ、接続だけで残高が動くことは通常ありませんが、念のため直近の取引履歴を確認します。
• 承認・署名をした：エクスプローラーや承認管理ツールで承認先を確認し、取り消し（revoke）の取引を送ります。手順は承認の取り消し（revoke）の記事にあります。残っている資産は新しいウォレットへ移すことも検討します。
• シードフレーズを入力した：取り消しでは防げません。新しいウォレットを作り、残りの資産を急いで移すことが最優先です。

あわせて、証拠として次の情報を保存します。問題の投稿のURLと投稿日時、アカウント名とユーザーID、DMの画面、claimサイトのURLと画面、ウォレットの確認画面に表示された内容（撮れていれば）、そして承認や送金の取引ID。投稿やアカウントは削除されることが多いため、URLを控えるだけでなく画面の保存もしておきます。記録の整理は証拠の残し方を参考にしてください。

X上のなりすましアカウントや詐欺的な広告は、X社の報告機能から通報できます。通報は被害の回復につながるものではありませんが、同じ投稿を目にするほかの利用者を守ることになります。

相談先と伝えるべきこと

エアドロップを装った被害は、相手の正体がわからないまま進むことがほとんどです。それでも、ひとりで抱えず公的な窓口に早めに相談してください。

• 警察：警察相談専用電話 #9110、またはお近くの警察署。資産が移された場合は被害届の相談もここで行います。
• 消費生活センター：消費者ホットライン 188。勧誘や取引の経緯を整理するのに向いています。
• 金融庁の金融サービス利用者相談室：ナビダイヤル0570-016811、平日10〜17時。暗号資産の制度や、関わった事業者が登録業者かどうかの確認に。
• 国内の交換業者：ウォレットへの入金元が国内の交換業者なら、その業者の公式サポート。

相談の際は「Xのどの投稿から」「どのサイトで」「何を押したか（接続・承認・署名・入力）」「いつ、何がどこへ移ったか」の4点を伝えると、状況が正確に伝わります。

被害を公表したあと、Xで「資金を取り戻せる」「ハッカーに依頼すれば回収できる」と声をかけてくるアカウントが現れることがあります。FBIは、民間の回収業者には暗号資産の差押え命令を出す権限がなく、法執行機関が捜査に費用を請求することもないと説明しています。こうした申し出に費用を払う前に、必ず公的な窓口に相談してください。相談の全体像は相談の流れ、当サイトへの申し込みは相談予約からどうぞ（返金を保証するものではありません）。

よくある質問

Q. Xで見たエアドロップのリンクを開いただけです。大丈夫でしょうか？

A. ページを開いただけで資産が移ることは通常ありません。ただし、ウォレットを接続した、承認や署名をした、フレーズを入力した場合は状況が変わります。何をしたかを確かめ、該当する対応を取ってください。

Q. ガス代がかからない署名なら安全ですか？

A. 安全とは限りません。permitのように、署名だけでトークンの使用許可と同じ効果を持つ仕組みがあります。内容が読み取れない署名は行わないのが無難です。

Q. 知らないトークンがウォレットに届きました。売ってもいいですか？

A. 送りつけられたトークンに書かれたサイトで交換や受け取りをしようとすると、偽サイトに誘導されるおそれがあります。ethereum.orgもこの手口をエアドロップ詐欺として説明しています。触らずに放置するのが基本です。

Q. エアドロップ被害は警察に相談できますか？

A. できます。#9110 か最寄りの警察署に、投稿URL、サイトURL、取引IDなどを持って相談してください。相手が海外にいる可能性もありますが、記録は捜査の手がかりになります。

この記事の出典

• 日本暗号資産等取引業協会: 暗号資産に関する詐欺に遭わないために
• 日本暗号資産等取引業協会: 当協会および会員事業者を騙った給付金の交付等に関する投稿等にご注意ください（2024年7月16日）
• FBI IC3: Cyber Criminals Defraud Hedera Hashgraph Network Non-Custodial Wallet Users Through Nonfungible Token Airdrops Disguised as Free Rewards（2025年6月）
• ethereum.org: Ethereum security and scam prevention
• Ethereum Improvement Proposals: EIP-2612（permit）
• Investor.gov（SEC）: 5 Ways Fraudsters May Lure Victims Into Scams Involving Crypto Asset Securities
• FBI IC3: Increase in Companies Falsely Claiming an Ability to Recover Funds Lost in Cryptocurrency Investment Scams

※本記事は公開情報をもとにした一般的な情報提供です。特定のサービス・事業者を詐欺と断定するものではなく、返金・解決を保証するものでもありません。個別の判断は弁護士や公的機関にご確認ください。