NFTの「署名して確認」メールに注意｜setApprovalForAllと0円出品署名

「あなたのNFTに高額のオファーが届きました」「出品情報の再確認が必要です。署名して有効化してください」——。NFTマーケットの名前が入ったメールのリンクを開き、ウォレットに出てきた画面で「署名」を押したら、数分後に手持ちのNFTが次々と他人のアドレスへ移っていた。NFTの被害は、送金ボタンではなく、こうした承認や署名から始まることが多くあります。

この記事の結論です。メールのリンクから開いたページで署名や承認を求められたら、その場では押さないでください。同社が利用者へのメールに使う送信ドメインは opensea.io だけだと、OpenSea自身が説明しています。以下では、署名と取引の違い、setApprovalForAllと出品署名が悪用される仕組み、画面で読み取るべき項目、押してしまった後の対応を順に説明します。

NFTマーケットを名乗るメールの主な文面

NFTを持っている人を狙うメールには、いくつか決まった切り口があります。

• オファーの通知：「コレクションの相場より高いオファーがあった。期限内に受け取りを」
• 出品の再確認：「規約変更で出品が無効になった。署名して再有効化を」
• 取引の失敗：「購入者の支払いが失敗した。手数料を払えば完了する」
• アカウントの移行：「新しい契約（コントラクト）へ移行するため、承認が必要」
• 配布の当選：「保有者限定のNFTが当たった。受け取りはこちら」

OpenSeaのヘルプセンターは、同社が取引の失敗を知らせるメールを送らないこと、opensea.io以外のドメインから「アイテムが売れた」と伝えるメールは偽物であることを挙げています。さらに、シードフレーズやパスワード、秘密鍵を求めることもないと明記しています。送信元のアドレスを開いて、@の後ろがopensea.ioになっているかを最初に確かめてください。表示名は自由に変えられるため、名前だけでは判断できません。

メールを受け取った時点でできる確認

1. リンクを押さずに、マーケットを自分で開く：ブックマークか、ふだん使っているアプリから開き、通知やオファーが本当に届いているかを見る。本物の通知なら、アカウント画面にも同じ内容が出ているはず
2. メールの「宛先」を見る：マーケットに登録したメールアドレスとは別のアドレスに届いていれば、少なくともその登録情報から送られたものではない
3. 期限の短さを疑う：「24時間以内」「本日中」と締め切りを強調する文面は、確かめる時間を奪う目的であることが多い
4. 添付ファイルやQRコードは開かない：OpenSeaは、取引のためにQRコードの読み取りを求めることはないとしている

この4つを確かめるのに数分もかかりません。その数分を惜しまないことが、署名の画面にたどり着く前に被害を止める一番確実な方法です。

「取引」と「署名」は何が違うのか

ウォレットが求めてくる操作には、大きく分けて2種類あります。

ガス代がかからない署名は「ただの確認」と受け取られがちですが、MetaMaskのヘルプセンターは、攻撃者がオフチェーンの署名を手に入れ、あとでそれを使って資産を盗む手口を「署名フィッシング」として説明しています。署名はネットワークに送られないため、相手はそれを好きなタイミングで使えます。数週間たってから資産が動かされる例もあると同社は注意しています。

編集部としては、「ガス代がかからないから安全」という判断はやめたほうがよいと考えます。お金がかからない操作ほど、何を許可しているのかを読む必要があります。

setApprovalForAllと出品署名が悪用される仕組み

setApprovalForAll：コレクションごと任せる許可

MetaMaskによれば、setApprovalForAllは、特定のスマートコントラクトに属するNFTをすべて管理する権限を、他のアドレスに与えたり取り消したりする機能です。NFTマーケットで出品するときには、売れたNFTを買い手に移すために正当に使われます。一方で、偽サイトはNFTの配布の受け取りなどを口実にこの承認を求めます。MetaMaskは、何かを受け取るためにこの種の承認へ署名する必要はないはずだと注意しています。

0ETHの出品署名：すでにある許可を逆手に取る

MetaMaskのヘルプセンターが紹介する「NFT出品詐欺」は、さらに気づきにくい形です。以前に大手マーケットでNFTを出品したことがある人は、そのマーケットにNFTを移す許可をすでに与えています。攻撃者はこれを利用し、利用者に自分のNFTを0ETHで出品する署名をさせます。許可が残っているため、署名1回で出品が成立し、攻撃者はその出品を誰よりも早く買い取ります。利用者から見ると、承認の取引もガス代の支払いもしていないのに、NFTがなくなったことになります。

同社はまた、一括出品のための署名をまねた偽サイトが、アカウント内のNFTをすべて引き出す権限を得ようとする例も挙げています。

署名画面で読み取りたい項目

ウォレットの画面は英語や専門用語が多く、読み飛ばしたくなります。少なくとも次の点は確認してから判断してください。

1. 要求しているサイト：画面の上部に出るドメインが、自分でブックマークから開いたマーケットのものか
2. 操作の種類：「Set approval for all」「Approve」「Sign typed data」など、送金以外の許可や署名が含まれていないか
3. 対象：自分が持っている別のコレクション名や、全トークンを示す表示が出ていないか
4. 金額と受取先：出品の署名なら、価格が0や極端に安くなっていないか。受取人が自分以外のアドレスになっていないか
5. 有効期限：出品や許可の期限が、数年先など不自然に長くないか

内容が読めない、あるいは画面に警告が出ているときは、署名しないのが正解です。MetaMaskには、取引や署名の前に危険の可能性を知らせるセキュリティ警告の機能があり、同社は有効にしておくよう勧めています。承認をまとめて確認・取り消しする操作は、メールのDeFi案内で承認してしまった場合の記事で手順を説明しています。

大事なNFTを守るウォレットの分け方

完全に被害を防ぐ画面の読み方はありません。そこで効果が大きいのが、ウォレットを役割ごとに分けることです。MetaMaskも、価値のある資産を別のウォレットに「隔離」し、新しいサイトを試すときには専用のウォレットを使うよう勧めています。

メールのリンクから開いたサイトで保管用ウォレットをつなぐ状況を、そもそも作らないことが大切です。ブラウザの拡張機能として入れるウォレットは便利な反面、どのサイトからでも署名の依頼を表示できてしまいます。保管用のウォレットは、ふだん使うブラウザとは別のプロファイルに入れる、あるいはハードウェアウォレットにして、署名のたびに端末のボタンを押さなければならない状態にしておくと、うっかり押してしまう事故を減らせます。売買のたびに保管用から日常用へ必要な分だけ移す手間はかかりますが、その手間が安全の対価だと割り切るのが編集部のすすめです。

署名してしまった後の対応と報告先

署名や承認をしてしまったと気づいたら、資産が動かされる前に動けるかどうかが分かれ目です。

1. 残っているNFTと暗号資産を、新しく作ったウォレットへ移す：署名の内容が分からなくても、移してしまえば元の許可は使えなくなることが多い
2. 承認を取り消す：MetaMaskは、revoke.cashなどのツールで問題の承認を見つけ、取り消しの取引を送る方法を案内している
3. 出品を確認する：大手マーケットで自分のアカウントを開き、身に覚えのない出品があれば正規の画面から取り消す
4. 記録を残す：メール本文とヘッダー、リンク先のURL、署名した時刻、失ったNFTのトークンIDとトランザクションID

メールの報告先

• OpenSeaを名乗るメールなら、送信者をブロックしたうえで、同社のヘルプセンター（support.opensea.io）のメッセンジャーから報告する
• フィッシング対策協議会：Webフォームまたはメールで報告を受け付けており、情報は警察などに提供される場合がある
• 被害が出ている場合は、都道府県警察のサイバー事案相談窓口へ

盗まれたNFTのその後や、マーケットでの売買停止についてはNFTを取り戻す現実の記事で詳しく解説しています。

よくある質問

Q. ガス代がかからない署名なら、押しても問題ありませんか？

A. 問題がないとは言えません。MetaMaskは、オフチェーンの署名を手に入れて後から資産を盗む「署名フィッシング」を警告しています。ガス代の有無ではなく、何を許可する署名なのかで判断してください。

Q. setApprovalForAllを求められました。どんなときなら正当ですか？

A. 信頼できるマーケットで初めてNFTを出品するときなどに使われます。一方、NFTの配布を受け取るだけの場面では、MetaMaskはこの承認が必要ないはずだとしています。自分で開いた正規のサイトかを必ず確かめてください。

Q. OpenSeaからのメールかどうかは、どう見分けますか？

A. 送信元のドメインを確認します。OpenSeaは、メールはopensea.ioのドメインからのみ送ると公表しています。取引の失敗を知らせるメールも送らないとしています。

Q. 0ETHで出品する署名をしてしまいました。

A. すぐに正規のマーケットで自分の出品を確認し、身に覚えのない出品を取り消してください。あわせて、残っているNFTを新しいウォレットへ移し、記録を残して警察に相談します。

この記事の出典

• OpenSea Help Center「How can I report a phishing email or direct message (DM)?」
• OpenSea Help Center「What are some common web3 scams?」
• MetaMask Help Center「What is a token approval?」
• MetaMask Help Center「NFT listing scams」
• MetaMask Help Center「Signature phishing」
• フィッシング対策協議会「フィッシングの報告」
• 警察庁「サイバー事案に関する相談窓口」

※本記事は公開情報をもとにした一般的な情報提供です。特定のサービス・事業者を詐欺と断定するものではなく、返金・解決を保証するものでもありません。個別の判断は弁護士や公的機関にご確認ください。