2分で読めます
Tronウォレットドレイナー：トークン承認詐欺の仕組みと取り消し方法
あなたのTronウォレットを空にするそのトランザクションは、あなたがすでに署名したものです。数週間前かもしれず、もう閉じたサイトで、2秒で片付けたプロンプトの中だったかもしれません。
これがウォレットドレイナーです。秘密鍵は最後まで秘密のまま、シードフレーズも漏れません。この詐欺に必要なのは、あなたによる1回の承認だけ。あとは忍耐だけです。
トークン承認が実際に行うこと
TRC-20の承認は、ブロックチェーンに書き込まれる恒久的な許可です。あなたにどんな代償を払わせるかを決めるのは2つの項目です。どのコントラクトを承認するのか、そしてそのコントラクトがあなたの代理で動かせるトークン量です。
被害の原因は2つ目の項目にあります。多くのアプリケーションは、取引のたびに再承認させなくて済むよう、デフォルトで無制限の許容量を要求します。分散型取引所にとっては実際の利便性です。ドレイナーにとっても同じ利便性です。
承認に署名しても、何も動きません。残高は変わらず、資金はウォレットから出ず、Tronでは手数料もほぼゼロです。ウォレットが示すすべての信号が、これは些細な操作だと言います。しかし実際に作成されたのは、あなたが取り消すまで開いたままの許可なのです。
スマートコントラクト承認詐欺が成立する理由
Chainalysisは、承認フィッシングによる損失を概ね2021年5月以降で約10億ドルと推計しています。2023年は11月時点で3億7,460万ドルが含まれます。このデータセット内の単一の詐欺アドレスは、数千人の被害者から推定4,430万ドルを奪いました。これらは全チェーンの数値であり、Tronの数値ではありません。現在、ドレイナー被害について信頼できるTron固有の数値を公表している企業はなく、そうした数字を提示してくる者は疑うべきです。
Tronが加えているのは経済性です。エネルギーと帯域幅のモデルにより、攻撃者のコストは被害者1人あたりほぼゼロになるため、何千ものウォレットから承認を収集するのは、見込みだけで実行しても安上がりです。手数料の高いチェーンでは攻撃者は選別せざるを得ません。Tronでは無差別に仕掛けて待てます。
実際に待ちます。Chainalysisは、詐欺師は「即座に動くこともあれば、絶好のタイミングまで潜むこともある」と述べており、潜む方が通常は有利な戦略です。40 TRXしかないウォレットで与えられた承認には、ほぼ価値がありません。6か月後、給与やステーブルコインの送金が届いた後の同じウォレットでの同じ承認には、抜き取る価値があります。攻撃者があなたを見張っているのではありません。スクリプトがあなたの残高を見張っているのです。
モバイルウォレットではこのプロンプトが最も圧縮されて表示され、盲目的な承認の大半はそこで起きます。プロンプトがコントラクトと金額を明確に示さない場合は、その情報の欠落を表示のくせではなく危険信号として扱いましょう。
Tronでトークン承認を取り消す方法
ここはブックマークする価値のある部分です。Tron詐欺の系譜全体の中で、唯一まともな「取り消し」ボタンだからです。
- TronScanを開き、Token Approvalsページに移動します。
- 監査したいウォレットを接続します。
- リストを確認します。過去に許容を与えたすべてのコントラクトが、金額とともにここに表示されます。
- 現在使用していないものはすべて取り消します。怪しく見えるものだけでなく、説明のつかないものすべてを対象にします。
- 空だと考えているものも含め、管理しているすべてのアドレスで繰り返します。
取り消しには少量の帯域幅またはエネルギーと、1回の署名が必要です。許可は恒久的に取り消されます。ただし、すでに奪われた資金は取り戻せず、シードフレーズが漏えいしている場合には役に立ちません。それは別の失敗であり、別の対処法があります。
毎月実行しましょう。事後対応ではなく予定として実行すべき理由は、警告が来ないからです。ドレイナーのスクリプトが、あなたの残高がついにしきい値を超えたと判断しても、通知は何も届きません。
ウォレットドレイナーが依存する時間差
この詐欺には技術的な妙は何もありません。コントラクトは、あなたが認めた通りに動くだけです。それが問題のすべてであり、好機のすべてでもあります。あなたの署名なしに動くドレイナーはなく、取り消しを生き延びるドレイナーもありません。
承認から抜き取りまでの間に、あなたには時間差があります。通常は数週間、ときに数か月で、ウォレットが労力に見合う価値を持った瞬間に閉じます。今日TronScanで10分を使えば、説明のつかない承認をすべて消去できます。
入口がサイトではなく人間だった場合は、仕組みも対処法も異なります。なりすまし業者がTronユーザーを口説いてウォレットを手放させる手口をご覧ください。
