ウォレットドレイナーとは？仕組みと被害を防ぐ方法

Scam Snifferの2025年年次レポートによると、ウォレットドレイニング型フィッシングによる被害は106,000人から8,385万ドルにのぼりました。2025年前半だけでも、フィッシング攻撃による仮想通貨の損失は4億1,075万ドルに達しています。多くは、正規に見えるリンクをクリックし、ウォレットを接続し、資金を引き出す承認をうっかり許可してしまうというパターンです。NFTコレクター、DeFiユーザー、そしてDiscordやX（旧Twitter）で誤ったリンクをクリックした一般ユーザーが主な標的となっています。

ウォレットドレイナーはブロックチェーン自体をハッキングするわけではありません。必要なのは、あなたが一度のクリックでウォレット残高の全額を引き出す許可を与えてしまうことだけです。本記事では、その仕組みと防御策を詳しく解説します。
 

ウォレットドレイナーの仕組み

ウォレットドレイナーとは、ユーザーにウォレット接続と承認、または無制限の承認を促し、資金を引き出す悪質なdAppやフィッシング手法です。

基本的な流れはこうです。サイトは正規に見え、ウォレットを接続すると、秘密鍵・シードフレーズ・ウォレット承認などを求められます。もし資金引き出しや無制限のトークンアクセスを承認してしまえば、攻撃者は資産を移動できます。たった一度の承認で十分な場合もあります。攻撃にはシードフレーズも秘密鍵も不要です。必要なのはあなたの承認だけです。

重要なのは、危険な承認が必ずしも分かりやすいとは限らないことです。Scam Snifferの2025年データでは、1,000万ドル超の被害のうち38%がPermit型署名攻撃によるものでした。

署名型ドレイナーは、従来のオンチェーン承認トランザクションを見せず、「Verify Wallet」や「Claim Airdrop」などのラベルでオフチェーン署名を求める点が特徴です。一見、単なる管理用メッセージのように見えるため、リスクが低いと感じてしまいがちですが、実際にはERC-20のような明確な承認履歴が残らない場合もあります。

これが落とし穴です。署名だけでもPermit型承認フローを通じてトークンの使用許可を与えてしまうことがあります。Permit2型攻撃では、署名によって既存の許可経路を利用し、広範囲なトークンアクセスをコントラクトに与えてしまう危険性があります。「100 USDCを送信」など分かりやすい表示が出るとは限りません。管理用に見えるメッセージでも、結果的に攻撃者が資金を素早く移動できる道を開いてしまうのです。

同様のパターンは、より単純な承認攻撃でも見られます。悪意あるdAppは、あなたに間違った支出先を承認させるだけで十分です。ブロックチェーンはウォレットの署名を正当な許可として扱います。だからこそ、「このサイトは見た目が信頼できるか？」ではなく、「誰に、どんな許可を、どのくらいの期間与えているのか？」を常に意識することが大切です。
 

ドレイナーの手口：攻撃経路

こうした攻撃が成立するのは、ユーザーが悪質なサイトとやり取りしてしまう場合です。そこへ誘導するのが攻撃のもう半分です。

偽のトークンやNFTエアドロップは、ウォレットに直接送付され、既存コレクションを模倣した微妙な名称違いで、資産に触れるとフィッシングサイトに誘導します。ウォレット内の見知らぬ資産は、好奇心ではなく警戒心を持って対応しましょう。
 

なりすましメッセージや偽アカウントも非常に危険です。詐欺師は偽アカウントやボット、有名な仮想通貨インフルエンサーのなりすましで偽エアドロップを宣伝します。Celestia TIAローンチ時には、calestiatokenという偽アカウントがCelestiaOrgになりすまし、Ethereumアドレスの提出を促しました（CelestiaはEthereum系プロジェクトではありません）。

このローンチでは、Celestiaのエアドロップに便乗した偽サイトが多数出現したことも記録されています。多くのユーザーは、急いで「公式らしい」ページを検索し、最初に見つかったサイトをクリックしがちです。ドレイナーは、たった一度の焦ったクリックで十分なのです。

偽のエアドロップ請求ページは、公式サイトとほぼ同じ名称やレイアウト、ロゴを再現できます。エアドロップ情報をもとに行動する前に、必ず公式サイト・ブログ・公式SNSで情報を確認しましょう。

偽サイトやフィッシングメッセージは、検索広告やSNS広告、メール・Telegram・Discord・Xでのなりすまし、偽エアドロップトークン、WalletConnect型フィッシング、メール型フィッシングなど、さまざまな形で現れます。

注意すべきサインは一貫しています。アカウント名の微妙な違い、スペルミス、フォロワー数の少なさ、公式チャンネルに掲載されていない告知などです。

危険な承認の確認と取り消し方法

自分でも気づかないうちに、多くの承認が残っていることがあります。DeFiを利用するたびにオンチェーン上で承認が積み重なり、その中には無制限の承認も含まれている場合があります。

ステップ1：承認状況を確認する

信頼できる承認確認ツールを使い、ウォレット接続前に必ずURLを確認しましょう。頻繁に確認する場合はブックマークを利用してください。偽の承認監査サイトもフィッシングの一種です。

利用している各チェーンごとに、どのコントラクトがどのトークンを、どれだけ使えるか、今の利用状況に合っているかを確認します。

まずは無制限の承認から見直しましょう。これは、特定金額ではなく広範囲な利用権限を与えるものです。次に、利用していないプロトコルや不明なコントラクト、不要になった大きな承認もチェックします。

Permit2や署名ベースの許可が別表示される場合も確認してください。不明な支出先や古いdAppセッションの許可は優先的に見直しましょう。実用的な月次点検として、承認を3つに分けて管理します。現在利用中のプロトコルは維持し、不要な大きな承認は減額または取り消し、不明なコントラクトや古いキャンペーンのものは削除します。DeFi利用を不便にするのが目的ではなく、古い許可がリスクになるのを防ぐのが目的です。

ステップ2：怪しい承認を取り消す

信頼できないアプリや使っていない承認は取り消しましょう。取り消しにはオンチェーントランザクションが必要で、ガス代がかかります。まずは無制限の承認、次に大きな承認、最後に古いDeFiセッションの承認の順で優先してください。

このガス代は安全のためのコストです。古い承認を放置するより、少額のガス代で取り消すほうが安心です。ガス代が高い場合は、リスクが高いもの（無制限、不明なコントラクト、長期間未使用のプロトコル）から順に取り消しましょう。

今後新しいプロトコルを利用する際は、必要最小限の承認だけを与え、無制限の承認は避けてください。これを月に一度の習慣にしましょう。実用的なルールはシンプルです。見知らぬトークンが「請求」や「アンロック」を促す場合は詐欺とみなしてください。正規プロトコルが承認処理にシードフレーズや秘密鍵を求めることはありません。

ドレイナー対策チェックリスト

以下は抽象的なベストプラクティスではなく、上記で説明した具体的な攻撃経路に対応した対策です。

• 利用するDeFi dAppは必ずブックマークし、検索やDiscord・X・Telegramのリンクからアクセスしない。
   
• ウォレット接続前にURLを一文字ずつ確認し、見た目だけでなく正しいドメインかチェックする。
   
• ウォレットの承認状況は定期的に見直し、信頼できないアプリや不要な無制限承認は取り消す。
   
• ブックマーク以外からアクセスしたサイトで「Verify Wallet」や「Claim Airdrop」メッセージには絶対に署名しない。
   
• エアドロップやミント情報は、インフルエンサーの投稿だけでなく、必ず公式チャンネルで告知を確認する。
   
• 大きな資産にはハードウェアウォレットを使う。物理的なタップやボタン操作が最後の安全チェックになる。
   
• 新しい・未検証プロトコル用には専用の「捨てウォレット」を用意し、メインウォレットは接続しない。
   
• ウォレットアプリ・OS・ブラウザは常に最新版にアップデートし、脆弱性修正を反映させる。
   
• 資金は用途ごとに分け、少額・日常用はホットウォレット、大きな長期保管はコールドストレージに分散する。