Owlioアドレスポイズニング：送信前に受取先を確認する
取引履歴は活動の記録であり、確認済みのアドレス帳ではありません。信頼できる情報源と宛先全体を使って受取先を確認しましょう。
アドレスポイズニングを避けるには、受取先アドレスを独立して取得し、確定前に宛先全体を比較してください。 最近の取引の行に見覚えがあるという理由だけで、アドレスを再利用しないでください。履歴の項目が示すのは活動が記録されたことです。そのアドレスが支払いたい相手のものだと確認するものではありません。
このガイドでは、繰り返し使える受取先の確認手順を紹介します。資金の移動、テスト取引への署名、見慣れないトークンへの操作を求めるものではありません。
履歴のアドレスが正しく見えてしまう理由
アドレスポイズニング詐欺では、攻撃者が似たアドレスを作り、ごく少額または金額ゼロの送金を通じて、あなたの取引履歴に載せます。目的は、後の支払いでそのアドレスをコピーさせることです。MetaMaskの説明はこの仕組みを説明し、最初と最後の一致を頼りにしないよう注意しています。中央は異なる可能性があります。
このような項目を受け取っただけでは、署名鍵が侵害されたとは示せません。危険なのは、次にあなたが選ぶ宛先です。
省略された2つのラベルを想像してください。
- 意図した受取先：
SAME-START [確認済みの中央部分] SAME-END - 似せたアドレス：
SAME-START [異なる中央部分] SAME-END
これらは説明用のラベルであり、ウォレットアドレスではありません。画面が中央部分を隠していると、どちらの行も同じように見覚えがあるものに見えます。行を展開すれば表示される文字は増えますが、どの完全なアドレスが意図したものかを判断するには、独立した照合元が必要です。
送信画面を開く前に受取先の照合元を用意する
送金の目的を普通の言葉で書き出してください。自分の受信用ウォレット、特定の人のウォレット、サービス上の自分のアカウントへの入金、などです。その目的によって、どこから照合元を取得するかが決まります。
| 意図した宛先 | 独立した照合元 |
|---|---|
| 自分のウォレット | その完全な受取アドレス |
| 他の人 | 既知の連絡手段で確認したアドレス |
| サービスへの入金 | 公式アカウント内の現在の入金ページ |
他の人への送金では、「これは、このネットワークでのあなたの受取アドレスですか？」と具体的に質問してください。候補のアドレス全体を、その人との連絡に普段使っている手段で送ります。知らないアカウントから返信が来ても、いつもの相手と話しているとは確認できません。
サービスへの入金では、アドレスと一緒に現在の手順を読んでください。選択した資産とネットワークに加え、サービスが求める宛先の追加情報も確認します。見覚えのあるアカウント名や古い入金画面の画像では、現在の手順との不一致は解消できません。宛先がはっきりしないままなら、送金を作成する前に止まってください。
受取先が読みやすい名前を使っている場合は、ENS名からアドレスを確認するガイドで、該当するアドレスレコードを調べる方法を説明しています。名前の検索と、意図した相手の確認は別の確認です。
貼り付けた後にアドレス全体を比較する
送金の準備中も、独立した照合元を見られるようにしておきます。Trezorのガイダンスも、自分のウォレットが宛先の場合を含め、確定前にすべての文字を確認するよう求めています。これはアドレス全体の確認を実践するための編集上のチェックリストであり、特定のウォレットの機能を主張するものではありません。
- 意図したネットワークと資産を選びます。 照合元が同じ宛先条件に対応していることを確かめます。
- 確認済みの情報源から受取アドレス全体を貼り付けます。 宛先欄が省略したラベルしか表示しない場合は、展開します。
- 貼り付けた値のすべての部分を比較します。 中央も含め、文字列全体を扱いやすいまとまりに分けて確認します。先頭が一致しただけで確認を終えないでください。
- 最終確認を読みます。 これから承認する送金に表示される実際の受取先、ネットワーク、金額を確認します。受取先全体を見られない場合、この確認は完了していません。
- どこかが一致しなければ止まります。 信頼できる情報源に戻り、意図したアドレスをもう一度確かめます。履歴の中で最も似て見える行を選ばないでください。
MetaMaskは確認済みの連絡先を推奨し、ハードウェアウォレットの受取先表示を追加の確認箇所として説明しています。保存済みの連絡先は、そのアドレスを確認してから初めて役に立ちます。機器の表示は比較する場所をもう1つ増やしますが、同じ誤ったアドレスを2つの画面で確認しても、正しい受取先だとは確認できません。
受取先の確認とポートフォリオの整理を分ける
不要な履歴項目、不要な資産、支出権限では、確認すべきことが異なります。迷惑トークンとNFTのガイドでは、資産の正体と表示の整理を扱います。トークン承認のガイドでは、支出者が持つ権限を扱います。行を非表示にしても、サイトとの接続を解除しても、次の支払いの宛先は確認されません。
Owlioは公開アドレスの保有資産を読み取ります。トラッカーにアドレスを追加すると、選んだウォレットを調べる助けになりますが、その残高は意図した受取人の所有物である証拠にはなりません。Owlioは送金に署名したり送信したりせず、このガイドも、細工された履歴項目を検出すると主張していません。
疑わしいアドレスへの送金をすでに確定した場合は、調査のために取引識別子、ネットワーク、宛先全体を保存してください。送信に使ったウォレットやサービスの公式サポート窓口に相談します。ポートフォリオの更新、連絡先の編集、行の非表示は確定済みの支払いを取り消しません。このチェックリストも回収を約束できません。
次の送金で使える判断基準はシンプルです。送信の確認画面にある宛先全体が、独立して確認した受取先の照合元と一致する場合だけ進めてください。 最近の履歴の行だけでは、その確認はできません。
よくある質問
金額ゼロの送金があると、ウォレットがハッキングされたということですか？
頼んでいない送金があっただけでは、署名鍵が他者に支配されているとは判断できません。アドレスポイズニングは、後で似た受取先を選ばせようとする手口です。予期しない出金や不審な署名は、別途調査する必要があります。
最初と最後の文字を確認すれば十分ですか？
いいえ。似せたアドレスは、その部分が同じでも中央が異なることがあります。意図した受取人や現在の公式入金ページから独立して取得したアドレスと、宛先全体を比較してください。
Owlioは送金先が正しい相手か確認できますか？
いいえ。公開アドレスの保有資産を読み取っても、あなたが誰に支払おうとしていたかは確認できません。Owlioはポートフォリオトラッカーであり、送金に署名したり送信したりしません。送金の手順の中で受取先を確認してください。