ウォレットドレイナーとは？仕組みと被害を防ぐ方法を徹底解説

Scam Snifferの2025年年次レポートによると、ウォレットドレイナーによるフィッシング詐欺で10万6,000人が被害に遭い、被害総額は8,385万ドルにのぼりました。2025年前半だけでも、仮想通貨ユーザーはフィッシング攻撃で4億1,075万ドルを失っています。典型的なパターンは、正規に見えるリンクをクリックし、ウォレットを接続し、資産を引き出す承認を与えてしまうというものです。標的はNFTコレクター、DeFiユーザー、そしてDiscordやX（旧Twitter）で誤ってリンクを踏んだ一般ユーザーも含まれます。

ウォレットドレイナーはブロックチェーン自体をハッキングするわけではありません。必要なのは「あなたに全資産の引き出し権限を与えさせる」ことだけです。本記事では、その仕組みと防御策を詳しく解説します。
 

ウォレットドレイナーの仕組み

ウォレットドレイナーとは、ユーザーにウォレット接続と承認を促し、無制限の引き出し権限を与えさせて資産を抜き取る悪質なdAppやフィッシング手法です。

基本的な流れはこうです。サイトは正規に見え、ウォレットを接続すると、秘密鍵やシードフレーズ、またはウォレット承認を求める画面が表示されます。もし引き出しトランザクションや無制限のトークンアクセスを承認してしまえば、攻撃者は資産を移動できます。たった一度の承認で十分です。攻撃にはシードフレーズや秘密鍵は不要で、承認だけが必要なのです。

重要なのは「危険な承認が必ずしも分かりやすいとは限らない」という点です。Scam Snifferの2025年データによると、100万ドル超の被害案件のうち38%がPermit型署名攻撃によるものでした。

署名ベースのドレイナーは、従来のオンチェーントランザクションではなく、「Verify Wallet」や「Claim Airdrop」などのラベルでオフチェーン署名を求めてきます。これはトークン送信のように見えず、ERC-20の通常承認のような分かりやすい履歴も残らないため、リスクが低いと錯覚しやすいのです。

しかし、これが罠です。署名でもPermit型の承認フローを通じてトークンの引き出し権限を与えてしまう場合があります。Permit2型攻撃では、署名によって既存の許可範囲内で広範なトークンアクセスをコントラクトに与えてしまうことが危険です。「100 USDC送信」のような明確な表示が出るとは限りません。管理画面風のメッセージでも、結果的に攻撃者が資産を移動できる道筋を与えてしまうことがあります。

同様のパターンは、よりシンプルな承認攻撃でも見られます。悪意あるdAppは、間違った送信先への承認を誘導できれば暗号技術を破る必要はありません。ブロックチェーンはウォレットの署名をもとに承認を有効とみなします。だからこそ、「このサイトは信頼できるか？」ではなく「どんな権限を、誰に、どのくらいの期間与えるのか？」を常に確認することが重要です。
 

ドレイナー攻撃の手口と誘導経路

こうした攻撃は、ユーザーが悪質サイトにアクセスして初めて成立します。そこへ誘導する手口がもう半分の仕組みです。

偽のトークンやNFTエアドロップは、ウォレットに直接送られ、既存コレクションに似せた名称で紛れ込み、資産を操作しようとするとフィッシングサイトに誘導します。見知らぬ資産がウォレットに届いた場合は、興味より警戒心を持つべきです。
 

なりすましメッセージや偽プロフィールも非常に危険です。詐欺師は偽のエアドロップを宣伝するため、偽アカウントやボット、著名人になりすましたアカウントを利用します。Celestia TIAのローンチ時には、「calestiatoken」という偽アカウントがCelestiaOrgになりすまし、ユーザーにEthereumアドレスの提出を促しました（CelestiaはEthereum系プロジェクトではありません）。

同じローンチ時に、Celestiaの偽サイトが多数出現したことも記録されています。ユーザーは「公式ページ」を急いで検索し、最初に見つけたそれらしいサイトをクリックしてしまいがちです。ドレイナーは、こうした一度の焦ったアクセスを狙っています。

偽のエアドロップ請求ページは、公式サイトとほぼ同じ名称・レイアウト・ロゴで作られます。公式Webサイトやブログ、公式SNSを必ず確認してからエアドロップ情報を信じましょう。

偽サイトやフィッシングメッセージは、検索広告やSNS広告、メール・Telegram・Discord・Xでのなりすまし、偽エアドロップトークン、WalletConnectフィッシング、メールフィッシングなど多様な手口で現れます。

警告サインは共通しています：アカウント名の微妙な違い、スペルミス、フォロワー数の少なさ、公式チャンネルに掲載されていない告知などです。

危険な承認の確認と取り消し方法

自分でも気づかないうちに、多くの承認が残っていることがあります。DeFiを利用するたびに、オンチェーン上に承認が残り、その中には無制限の権限も含まれます。

ステップ1：承認状況を監査する

信頼できる承認監査ツールを使い、ウォレット接続前にURLを必ず確認しましょう。頻繁に確認する場合はブックマークを利用してください。偽の承認監査サイトもタイミングを狙ったフィッシングです。

各チェーンごとに表示される承認状況を確認し、どのコントラクトがどのトークンを、どれだけ使えるか、現在の利用状況と合致しているかをチェックします。

まずは無制限承認から確認しましょう。これは、特定の金額ではなく広範な利用権限をコントラクトに与えているものです。次に、使っていないプロトコルの古い承認、不明なコントラクト、大きな金額の固定承認などを見直します。

Permit2や署名ベースの権限が別表示される場合も確認しましょう。不明な送信先、広範なトークンアクセス、古いdAppセッションの権限は優先的に見直してください。実用的な月次チェックでは、承認を3つに分類します。よく使うプロトコルの権限は維持し、現在の利用状況に合わない大きな権限は減額または取り消し、不明なコントラクトや古いキャンペーンに紐づくものは削除します。DeFi利用を不便にするのが目的ではなく、古い権限がリスクになるのを防ぐためです。

ステップ2：怪しい承認を取り消す

信頼できないアプリや使っていない承認は取り消しましょう。取り消しにはオンチェーントランザクションが必要で、ガス代がかかります。まずは無制限承認、次に大きな金額の承認、最後に古いDeFiセッションの承認の順で優先しましょう。

このガス代はリスク回避のためのコストです。古い承認を放置するより、少額のガス代で権限を閉じる方が安全です。ガス代が高い場合は、優先度の高い（無制限、不明なコントラクト、長期間未使用のプロトコル）ものから順に取り消しましょう。

今後新しいプロトコルを使う際は、必要最小限の承認にとどめ、無制限承認は避けてください。これを月に一度の習慣にしましょう。実用的なルールはシンプルです：見知らぬトークンから「claim」や「unlock」を促すサイトに誘導された場合は詐欺と考えてください。正規プロトコルが承認にシードフレーズや秘密鍵を求めることはありません。

ドレイナー対策チェックリスト

以下は抽象的なベストプラクティスではなく、上記の攻撃手口ごとに対応した具体策です。

• 利用するDeFi dAppは必ずブックマークし、検索やDiscord・X・Telegramのリンクから探さない。
   
• ウォレット接続前にURLを一文字ずつ確認し、見た目だけでなく正確なドメインをチェックする。
   
• ウォレット承認を定期的に見直し、信頼できないアプリや無制限承認は取り消す。
   
• 「Verify Wallet」や「Claim Airdrop」などの署名リクエストは、必ずブックマークから直接アクセスしたサイト以外では絶対に応じない。
   
• エアドロップやミント情報は、必ず公式チャンネルで告知を確認し、インフルエンサー投稿だけで判断しない。
   
• 大きな資産はハードウェアウォレットで管理し、物理的なタップやボタン操作を最終確認にする。
   
• 新規や未検証プロトコル用に専用の「バーンウォレット」を用意し、メインウォレットは未知のdAppに接続しない。
   
• ウォレットアプリ・OS・ブラウザは常に最新に保つ。アップデートで脆弱性が修正されることが多い。
   
• 資産は分散管理し、日常利用はホットウォレット、長期保管はコールドストレージに分ける。