メールのDeFi案内で承認してしまった｜revokeで取り消す手順と限界

DeFiプロジェクトを名乗るメールのリンクからサイトに入り、ウォレットで「承認」「Approve」のボタンを押してしまったなら、まず承認が今も残っているかを確認し、残っていれば取り消し（revoke）を行ってください。承認は一度出すと、自分で取り消すまで有効なままです。ethereum.orgの解説も、コントラクトに与えたアクセス権は時間がたっても自動では失効しないと説明しています。

ただし、取り消しで止められるのは「これから先の引き出し」だけで、すでに抜かれた分は戻りません。この記事は、メールをきっかけにDeFiのサイトで承認をしてしまった人に向けて、承認の確認方法、revokeの具体的な手順、取り消しでは防げない場面、そしてメールの報告先までを順番に説明します。承認の仕組みそのものについては流動性マイニングで残高が消える理由で詳しく扱っています。

メールで届くDeFiの案内と、承認を求められる場面

メール経由の誘導では、利用中のサービスや参加したプロジェクトからの「お知らせ」を装う形が目立ちます。たとえば次のような件名や本文です。

• 「トークンの移行（マイグレーション）のお知らせ：期限までに新しいコントラクトへ交換してください」
• 「ステーキング報酬が確定しました。受け取りにはウォレットの接続が必要です」
• 「セキュリティ更新のため、ウォレットの再認証をお願いします」
• 「ホワイトリスト当選：先行購入の権利を確保してください」

リンク先で「交換」「受け取り」「認証」のボタンを押すと、ウォレットに承認や署名の確認画面が出ます。ここで許可を出すと、指定されたコントラクトがあなたのトークンを動かせるようになります。米国のFBI（IC3）は2022年、ウォレットを偽アプリにつながせて承認をもらい、持ち主に知らせずに資金を引き出す手口を注意喚起し、無制限の引き出しを許してしまう点を指摘しました。

フィッシング対策協議会は、不審なメールやフィッシングサイトの情報提供を受け付けています。同協議会の2021年2月の月次報告では、仮想通貨取引所4ブランドやウォレットのMyEtherWalletなど、暗号資産関連のブランドをかたるフィッシングの報告が増えたと記されています。

そもそも、なぜメールが届いたのかを考える

DeFiのプロトコルの多くは、ウォレットをつなぐだけで使え、メールアドレスの登録を求めません。登録した覚えがないのに「あなたのウォレットの移行期限」を知らせるメールが届いたなら、その時点で不自然です。本当に移行や仕様変更があるなら、プロジェクトの公式サイトや公式のSNSアカウント、ドキュメントにも同じ告知が出ているはずです。メールのリンクを押す前に、ブックマークや検索から公式サイトを自分で開き、同じ内容が載っているかを確かめる習慣をつけてください。

承認が残っているかを確かめる方法

承認はブロックチェーン上に記録されているため、ウォレットのアドレスが分かれば誰でも確認できます。イーサリアムの場合は、ブロックエクスプローラーのEtherscanにある「Token Approvals」ページが使えます。

1. ブラウザにEtherscanのURLを自分で入力して開く（メール内のリンクは使わない）
2. 上部メニューから「Token Approvals」のページに進む
3. 自分のウォレットアドレスを入力して検索する
4. ERC-20（一般的なトークン）、ERC-721・ERC-1155（NFT）のタブごとに一覧を見る

一覧には、どのコントラクト（Approved Spender）に、どのトークンを、どれだけの量で許可しているかが並びます。Etherscanの説明では、各行の「At Risk」の欄は、そのコントラクトが悪用された場合に危険にさらされる金額を示します。「Unlimited」と表示された行は、残高の全額を動かせる状態です。メールから入ったサイトで承認した日時と、一覧の承認日時を照らし合わせると、どの行が問題の承認かを特定しやすくなります。

イーサリアム以外のチェーン（BNB Chain、Polygon、Arbitrumなど）を使った場合は、そのチェーンのブロックエクスプローラーで同じように確認します。

revokeで承認を取り消す手順

ethereum.orgのガイドでは、取り消しツールを開き、ウォレットを接続し、対象のコントラクトを選んで、取り消しのトランザクションを承認する、という4段階で説明されています。実際の操作では、次の点に気をつけて進めてください。

1. 使う端末を決める。メールのリンクから不審なファイルを開いた覚えがある端末は避けます。
2. ツールのURLは自分で入力する。ethereum.orgのガイドには、EtherscanやRevoke.cashなどのツールが挙げられています。検索広告やメールのリンクから開かないでください。
3. ウォレットを接続し、問題の行で「Revoke」を押す。ウォレットに確認画面が出るので、取り消しの対象が意図したコントラクトかを見てから承認します。
4. ガス代を払う。取り消しもトランザクションなので、そのチェーンの手数料が必要です。混雑状況によっては反映まで数分かかります。
5. 一覧を再確認する。ページを読み込み直し、該当の行が消えているか、許可量が0になっているかを確かめます。

承認した覚えのないコントラクトが複数並んでいる場合も、同じ手順で1件ずつ取り消せます。取り消しの操作ができるのは、そのアドレスの持ち主だけです。取り消した日時とトランザクションIDも、後の相談に備えて控えておきましょう。

revokeで防げること、防げないこと

取り消しは有効な対策ですが、万能ではありません。できることとできないことを分けておくと、次の行動を決めやすくなります。

permitは、EIP-2612として定められた仕組みで、ガス代のかからない署名によってトークンの使用許可を与えられるようにするものです。署名だけでも許可を与えたことになり得るため、メールから入ったサイトで何かに署名した覚えがある場合は、承認一覧だけで判断せず、残高を新しいウォレットへ移すことも考えてください。

取り消しの途中で狙われやすい落とし穴

被害に気づいて慌てているときは、二度目の誘導に引っかかりやすくなります。次のような連絡や画面には注意してください。

• 「承認を取り消すサービス」を案内するメールやDM。取り消しを装って、別の承認や署名をさせる偽サイトの可能性があります。
• 取り消しの画面でシードフレーズを求められる。取り消しはウォレットの接続とトランザクションの承認で完了し、フレーズの入力は必要ありません。入力を求める画面はその時点で閉じてください。
• 「ガス代を立て替える」「送れば代わりに処理する」という申し出。送った暗号資産がそのまま失われるおそれがあります。

承認の数が多すぎて全部を確かめきれないとき、署名した内容が分からないときは、取り消しにこだわるより、新しく作ったウォレットへ残高を移すほうが早くて確実な場合があります。移したあとは、古いウォレットで新しいDAppに接続しないようにしましょう。

メールの保存と、報告・相談先

届いたメールは削除せず、そのまま残しておいてください。差出人の表示名だけでなく、送信元アドレス、受信日時、本文中のリンク先URLが手がかりになります。メールソフトの「メッセージのソースを表示」などからヘッダー情報も保存しておくと、後で確認する人が経路を追いやすくなります。

• フィッシング対策協議会：不審なメールやフィッシングサイトの情報提供を受け付けています（[email protected]）。
• 警察：トークンを抜かれたときは#9110に電話するか、警察庁が運営するサイバー事案の通報・相談フォームを使います。
• 消費者ホットライン188：勧誘や契約の経緯について相談したいとき。

相談の際は、承認や送金のトランザクションID、承認先のコントラクトアドレス、取り消しを行った日時もあわせて伝えてください。証拠のまとめ方は暗号資産トラブルの証拠の残し方、取引所を名乗るメールの見分け方は取引所を名乗るメール・SMSは本物？、当サイトでの相談は相談予約から受け付けています。

よくある質問

Q. revokeすれば、抜かれたトークンは戻ってきますか？

A. 戻りません。取り消しで止められるのは、そのコントラクトによる今後の引き出しだけです。抜かれた分については、トランザクションIDを控えて警察などに相談してください。

Q. 取り消しに使うガス代がウォレットに残っていません。どうすればいいですか？

A. 取引所などから自分でガス代分のネイティブ通貨（イーサリアムならETH）を送る必要があります。第三者に「代わりに送る」と言われても応じないでください。承認先が残高を狙っている場合、入金した瞬間に動かされるおそれもあるため、残高の移動を優先すべきかも含めて慎重に判断します。

Q. NFTの承認も取り消せますか？

A. 取り消せます。EtherscanのToken Approvalsでは、ERC-721やERC-1155のタブにNFTの承認が表示されます。コレクション全体を動かせる許可が残っていることもあるため、あわせて確認してください。

Q. 承認一覧に何も表示されません。安心していいですか？

A. 承認をしていなければ表示されませんが、permitのような署名は使われるまで一覧に出ないことがあります。メールから入ったサイトで何かに署名した覚えがある場合は、残高を新しいウォレットへ移すことも検討してください。

この記事の出典

• ethereum.org: 暗号資産に対するスマート・コントラクトのアクセス権を取り消す方法
• Etherscan Information Center: Token Approvals
• Ethereum Improvement Proposals: EIP-2612（permit）
• FBI IC3: Scammers Target and Exploit Owners of Cryptocurrencies in Liquidity Mining Scam（2022年7月）
• フィッシング対策協議会: フィッシングの報告
• フィッシング対策協議会: 2021/02 フィッシング報告状況
• 警察庁: サイバー事案に関する相談窓口

※本記事は公開情報をもとにした一般的な情報提供です。特定のサービス・事業者を詐欺と断定するものではなく、返金・解決を保証するものでもありません。個別の判断は弁護士や公的機関にご確認ください。