DeFiウォレットアプリ

DeFiウォレットアプリとは？

DeFiウォレットアプリとは、ユーザーがブロックチェーンアカウントを管理し、分散型金融プロトコルと直接やり取りできる暗号資産アプリケーションです。

暗号資産の送受信、分散型アプリケーションへの接続、トランザクションへの署名、スマートコントラクトの承認、流動性の提供、資産の借入、トークンの貸出、暗号資産のステーキング、ガバナンス投票、その他のオンチェーンポジションの管理に利用できます。多くのDeFiウォレットアプリは、ユーザー自身が秘密鍵を管理するセルフカストディを前提に設計されています。秘密鍵はトランザクションを承認するために使われます。ユーザーが復元に必要な情報をすべて失った場合、通常、ウォレット提供者は資金の復元、ブロックチェーン上の送金の取り消し、アカウントのリセットを行えません。通常、DeFiウォレットアプリ自体の中に暗号資産が保管されるわけではありません。ブロックチェーンが資産と残高を記録し、ウォレットはそれらを管理するための鍵とインターフェースを扱います。

最新のEthereumウォレットガイドでは、ウォレットはブロックチェーンアカウントが保存される場所ではなく、アカウントの確認やトランザクションの実行に使うインターフェースであると説明されています。

DeFiウォレットアプリには、モバイルアプリ、ブラウザー拡張機能、デスクトッププログラム、ウェブインターフェース、スマートアカウント、ハードウェア署名デバイス用のコンパニオンアプリなどがあります。

DeFiウォレットアプリの仕組み

DeFiウォレットアプリは、ブロックチェーンアカウントを作成、インポート、または接続します。アカウントには、暗号資産を受け取るための公開アドレスと、アクションを承認するための秘密鍵による署名の仕組みがあります。ユーザーがトランザクションを実行しようとすると、ウォレットにはネットワーク、受取人、トークン、数量、スマートコントラクト、推定手数料などの情報が表示されます。ウォレットは、ユーザーにリクエストを承認するか拒否するか確認します。承認されると、ウォレットはアカウントの秘密鍵または別の認証済み署名方法を使ってトランザクションに署名します。署名済みトランザクションは、リモートプロシージャコール（RPC）接続を通じてブロックチェーンノードに送信されます。バリデーターなどのネットワーク参加者が、ブロックチェーンのコンセンサスルールに従ってトランザクションを処理します。ウォレットはブロックチェーンを監視し、トランザクションが取り込まれて承認されるとインターフェースを更新します。スマートコントラクトの条件、ガス上限、スリッページ設定、アカウント残高、ブロックチェーンの状態変化によってトランザクションが失敗する可能性があるため、ウォレットは成功を保証できません。

DeFiウォレットアプリとブロックチェーンアカウントの違い

ブロックチェーンアカウントとは、ブロックチェーンネットワークが認識するアドレスと認証の仕組みです。DeFiウォレットアプリは、そのアカウントを確認・管理するためのソフトウェアです。同じアカウントを、互換性のある複数のウォレットインターフェースにインポートできる場合があります。ウォレットアプリを削除しても、アカウントが削除されたり、ブロックチェーン上の暗号資産がなくなったりすることはありません。アプリを再インストールしても、必要な復元方法を持っていなければ、アカウントが自動的に復元されるわけではありません。資産が特定のアプリに永久に紐付いていると誤解するユーザーもいるため、この違いを理解することが重要です。該当するネットワークが稼働し続ける限り、資産はブロックチェーンアカウントに紐付いたままです。

DeFiウォレットアプリとDeFiプロトコルの違い

DeFiウォレットアプリはアカウントを管理し、リクエストに署名します。DeFiプロトコルは、貸付、トークン交換、ステーキング、流動性提供、デリバティブ取引などの金融サービスを提供するスマートコントラクト群です。ウォレットはプロトコルと通信しますが、必ずしもプロトコルを運営・管理するわけではありません。安全なウォレットであっても、脆弱なプロトコルや詐欺的なプロトコルに接続する可能性があります。また、信頼できるプロトコルであっても、悪意のある署名を要求する偽サイトを通じてアクセスする可能性があります。そのため、ユーザーはウォレットアプリと、接続するすべての分散型アプリケーションの両方を評価する必要があります。

セルフカストディ型DeFiウォレットアプリ

セルフカストディ型ウォレットでは、ユーザー自身がアカウントの署名権限を管理します。通常、開発者は有効な署名または事前に付与されたスマートコントラクトの権限なしに、ユーザーの資産を移動できません。セルフカストディを利用すると、すべてのトランザクションについて別の組織の承認を得ずに、ブロックチェーンアプリケーションへ直接アクセスできます。一方で、バックアップ、鍵の保護、トランザクションの確認、詐欺の防止はユーザー自身の責任です。シードフレーズ、パスキー、ガーディアンシステムなど、承認された別の復元方法を持っていれば、忘れたパスワードを復元できる場合があります。従来型のセルフカストディアカウントでは、シードフレーズとデバイスの両方を失うと、永久にアクセスできなくなる可能性があります。

カストディアルウォレットアプリ

カストディアルウォレットアプリでは、別の組織がユーザー残高に関連する秘密鍵を管理します。通常、ユーザーはパスワード、認証方法、アカウント復元手続きを使ってアカウントにアクセスします。カストディアルサービスでは、復元、審査、カスタマーサポート、トランザクション管理が利用しやすい場合があります。一方で、取引相手、アクセス、破綻、プライバシー、出金、運用に関するリスクも生じます。カストディアルアプリから一部のDeFiサービスを利用できる場合がありますが、セルフカストディ型ウォレットと同じように秘密鍵を直接管理できるわけではありません。「ウォレット」という名称だけに頼らず、署名鍵を誰が管理しているか確認してください。

ホットウォレットアプリ

ホットウォレットは、インターネットに接続されたデバイスで利用します。モバイルウォレットアプリ、ブラウザー拡張機能、デスクトップウォレットプログラムは、一般的なホットウォレットです。トランザクションに素早く署名できるため、頻繁なDeFi利用に便利です。一方で、デバイス上のマルウェア、悪意のあるブラウザー拡張機能、フィッシングサイト、画面共有を悪用した攻撃、盗まれたセッション情報などに鍵がさらされる可能性があります。ホットウォレットには、通常、用途に必要な金額だけを保管するのが望ましいでしょう。長期保有資産と試験的なDeFi利用を分けることで、1つのアプリや署名が侵害された場合の影響を抑えられます。

ハードウェア接続型ウォレットアプリ

DeFiウォレットアプリは、秘密鍵を専用デバイスで管理するハードウェア署名デバイスに接続できます。アプリケーションがトランザクションを準備し、ユーザーが承認した後にハードウェアデバイスが署名します。この仕組みにより、コンピューターやスマートフォンが秘密鍵に直接アクセスするのを防げる場合があります。ただし、ユーザーが有害なトランザクションを承認することまでは防げません。デバイスが詳細を明確に表示できる場合は、信頼できるハードウェア画面でアドレス、数量、ネットワーク、スマートコントラクトの情報を確認してください。ハードウェアデバイスは鍵を保護しますが、あらゆるDeFi詐欺から自動的にユーザーを守るものではありません。

モバイルDeFiウォレットアプリ

モバイルDeFiウォレットアプリは、スマートフォンやタブレットで動作します。生体認証、デバイスの暗号化、安全なストレージ、QRコードの読み取り、プッシュ通知、ディープリンクに対応している場合があります。モバイルウォレットは、決済や分散型アプリケーションへの接続に便利です。アプリ内の保護が不十分な場合、ロック解除されたデバイスを盗まれるとウォレットが危険にさらされる可能性があります。強固なデバイスパスコード、自動ロック、OSのアップデート、ウォレット固有の認証を有効にしてください。復元情報を、同じスマートフォンの写真ライブラリやクラウドバックアップに通常のスクリーンショットとして保存しないでください。

ブラウザー拡張機能ウォレット

ブラウザー拡張機能ウォレットは、ウェブブラウザー内にブロックチェーンアカウントの機能を追加します。分散型アプリケーションを検出し、接続、トランザクション、署名のリクエストを表示できます。

EIP-1193プロバイダー標準は、Ethereumアプリケーションがリモートプロシージャコールや状態変更イベントを利用するために、ウォレットが公開できる共通インターフェースを定めています。

分散型アプリケーションとウォレットが同じブラウザー環境内で動作するため、ブラウザーウォレットは便利です。一方で、悪意のある拡張機能、偽サイト、侵害されたウェブページ、ブラウザーの脆弱性、偽のポップアップにさらされる可能性があります。拡張機能は、ウォレットの公式提供元が案内するリンク先からのみインストールしてください。

複数のウォレット拡張機能

複数のウォレット拡張機能をインストールすると、複数の拡張機能が分散型アプリケーションへの接続を同時に提示しようとして、競合が発生する場合があります。

EIP-6963マルチプロバイダー検出標準では、互換性のあるウォレットプロバイダーが個別に自身を通知できるため、ユーザーは使用するウォレットを選択できます。

これにより、共有のブラウザーオブジェクトへの依存が減り、ウォレットアプリ間の相互運用性が向上します。リクエストを承認する前に、ウォレット名とアカウントを確認してください。悪意のある拡張機能が別のウォレットを装ったり、ブラウザー上の操作を傍受しようとしたりする可能性があります。

デスクトップDeFiウォレットアプリ

デスクトップウォレットは、パソコン上でプログラムとして動作します。詳細なポートフォリオツール、トランザクション履歴、ハードウェアデバイス対応、バリデーター機能、高度なネットワーク設定などを備えている場合があります。デスクトップウォレットは、マルウェア、リモートアクセスツール、感染したソフトウェアインストーラー、同じパソコン上での安全でないブラウザー操作にさらされる可能性があります。インストーラーは、確認済みの公式提供元からダウンロードしてください。開発者が提供している場合、デジタル署名や公開済みファイルハッシュを使ってインストールファイルを追加確認できます。

ウェブベースのウォレットインターフェース

ウェブウォレットのインターフェースはウェブサイト上で動作しますが、アカウントの鍵は別の場所に保存されている場合があります。ウェブサイトは、ブラウザーウォレット、モバイルウォレット、ハードウェアデバイス、スマートアカウント、リモート署名者に接続する場合があります。ウェブインターフェースは、ドメインの偽装やフロントエンドの侵害に特に注意が必要です。暗号化されたHTTPS通信が使われていても、ウェブサイトが正規のものだとは限りません。ドメイン全体を確認し、通常のウェブページにシードフレーズを入力しないでください。

秘密鍵

秘密鍵は、ブロックチェーンアカウントからトランザクションを承認するために使われる秘密の暗号情報です。秘密鍵を入手した人は、通常、アカウント所有者として署名できます。ウォレットのパスワードによって1台のデバイス上の鍵を暗号化できる場合がありますが、パスワードを変更してもブロックチェーンの秘密鍵は変わりません。鍵が漏えいした場合は、侵害されていない新しい鍵情報で作成したアカウントに資産を移す必要があります。秘密鍵を分散型アプリケーション、サポートチャット、オンラインフォーム、トークン請求ページに貼り付けないでください。

シードフレーズ

シードフレーズは、多くのウォレットで複数のブロックチェーンアカウントを生成・復元するために使われる単語の列です。リカバリーフレーズまたはニーモニックフレーズとも呼ばれます。シードフレーズを入手した人は、ウォレットを再作成してアカウントを管理できる可能性があります。シードフレーズはオフラインでバックアップし、盗難、火災、水濡れ、誤廃棄、無断撮影から保護してください。正規の分散型アプリケーションがウォレットへの接続にシードフレーズを必要とすることはありません。同期、認証、移行、サポートのためにシードフレーズが必要だと主張する人は、ウォレットを侵害しようとしている可能性があります。

ウォレットのパスワード

通常、ウォレットのパスワードは特定のデバイス上のアプリケーションや暗号化された鍵ファイルへのアクセスを保護します。リカバリーフレーズや秘密鍵とは異なります。攻撃者はシードフレーズを入手すれば、アプリケーションのパスワードを知らなくてもアカウントを管理できる場合があります。必要な鍵データがなければ、パスワードを知っていても別のデバイスでウォレットを復元できない場合があります。ウォレットのパスワードは長く、使い回しを避け、安全に保管してください。

公開アドレス

公開アドレスは、資産を受け取り、スマートコントラクトとやり取りできるブロックチェーンアカウントを識別します。通常、アドレスを共有しても他人にアカウントの管理権限が与えられることはありません。そのアドレスに関連するブロックチェーン上の活動は、公開されている場合があります。アドレスを繰り返し使うと、残高、取引パターン、取引相手、DeFiポジション、アカウント間の関係が明らかになる可能性があります。高額なウォレットアドレスと個人の身元を公に結び付ける前に、プライバシーへの影響を検討してください。

ネットワークの選択

マルチチェーン対応のDeFiウォレットは、複数のブロックチェーンネットワークをサポートする場合があります。ネットワークごとにアドレス、ネイティブの手数料資産、トークンコントラクト、アプリケーション、セキュリティ上の前提が異なる可能性があります。同じ名前のトークンが、複数のネットワーク上で別々の資産として存在する場合があります。

公式ウォレット利用ガイダンスでは、トークンを送金する際、送信側と受取側で同じネットワークを使う必要があると注意喚起しています。

対応していないネットワークを通じて資産を送ると、復元が困難または不可能になる可能性があります。送金、スワップ、ブリッジ、承認、コントラクトとのやり取りを行う前に、毎回ネットワークを確認してください。

リモートプロシージャコール接続

ウォレットアプリは通常、リモートプロシージャコール（RPC）エンドポイントを通じてブロックチェーンと通信します。RPCサービスは、残高、トランザクションデータ、スマートコントラクトの状態、ガスの推定値、ブロック状況などの情報を提供します。署名済みトランザクションをネットワークにブロードキャストする役割も担います。不正または信頼性の低いRPCプロバイダーは、トランザクションを隠したり、不正確な情報を報告したり、ユーザーの活動を追跡したり、ブロードキャストを遅らせたりする可能性があります。通常、ウォレットの署名権限にアクセスできないRPCプロバイダーがトランザクションに署名することはできません。上級ユーザーは、別のRPCエンドポイントを選択したり、自身でブロックチェーンノードを運用したりできます。

DeFiウォレットをアプリに接続する

分散型アプリケーションは、選択したウォレットアドレスとネットワークを表示する許可を求める場合があります。ウォレットには、接続を要求しているドメインと共有されるアカウントが表示されるはずです。基本的な接続だけで、通常、アプリケーションにトークンの送金権限が付与されることはありません。その後、アプリケーションは追加の権限を生じさせるトランザクション、承認、署名を要求する場合があります。ウォレットの接続を解除すると有効なセッションは終了しますが、オンチェーンで記録済みの権限は取り消されない場合があります。ユーザーは、過去のセッションとスマートコントラクトの承認を別々に確認する必要があります。

WalletConnectセッション

ウォレットアプリは接続プロトコルを使い、異なるデバイスやブラウザー上の分散型アプリケーションと通信できます。

WalletConnect Wallet SDKのドキュメントでは、ウォレット利用者が鍵の管理と署名の権限を維持しながら、アプリケーションのリクエストを承認できる安全なマルチチェーン接続について説明しています。

QRコードやディープリンクによって、ウォレットとアプリケーション間の暗号化セッションを確立する場合があります。コードをスキャンしても、アプリケーションが安全であるとは限りません。セッションを承認する前に、ウォレットに表示される要求元ドメイン、ネットワーク、メソッド、アカウントの権限を確認してください。混乱や不要なリクエストを減らすため、使用していないセッションは切断してください。

ドメインの確認

ウォレットアプリは、評判や検証の仕組みを使って、不審なドメインについてユーザーに警告する場合があります。

WalletConnect Verify機能は、ウォレットが不審または悪意のある可能性のあるアプリケーションのドメインを識別できるよう設計されています。

警告は参考になりますが、警告対象になっていないウェブサイトが安全であることを証明するものではありません。新しいフィッシングドメインは、評判システムにまだ登録されていない可能性があります。また、以前は検証済みだった正規ドメインが、その後侵害される可能性もあります。ユーザーは引き続き、トランザクションの詳細とスマートコントラクトの権限を確認する必要があります。

暗号資産トランザクションへの署名

トランザクションへの署名は、認証されたアカウントがブロックチェーン上のアクションを承認したことを示します。そのアクションには、暗号資産の送金、スマートコントラクトの呼び出し、トークンの承認、借入、担保の引き出し、複数の操作の実行などが含まれる場合があります。ウォレットには、ユーザーが理解できる形でトランザクションが表示されるべきです。ブロードキャストされ承認されたトランザクションを取り消すことは、通常困難です。予期しない受取人、トークン、数量、ネットワーク、コントラクト、機能が含まれるトランザクションは拒否してください。

メッセージへの署名

DeFiアプリケーションは、ブロックチェーントランザクションを直ちに送信せずに、暗号署名を要求する場合があります。メッセージへの署名は、アドレスの管理権限の証明、ユーザー認証、注文の作成、トークンの支出承認、将来のアクションの許可などに使われることがあります。ガス代が不要な署名でも、金銭的な影響が生じる可能性があります。メッセージへの署名リクエストがすべて無害なログインだと思い込まないでください。署名する前に、ドメイン、目的、有効期限、アカウント、ネットワーク、権限を確認してください。

Typed Dataへの署名

Typed Dataへの署名では、メッセージを名前付きフィールドに整理するため、エンコードされた未加工データよりもウォレット上で明確に表示できます。

EIP-712 Typed Data標準は、構造化された情報をハッシュ化して署名する方法を定めています。

Typed Dataには、トークンの利用上限、注文条件、投票情報、期限、コントラクトアドレスなどが含まれる場合があります。読みやすいフィールドは透明性を高めますが、要求されたアクションが自動的に安全になるわけではありません。各フィールドが何を許可するのか、ユーザー自身が理解する必要があります。

Clear Signing

Clear Signingとは、トランザクションやメッセージを承認する前に、その影響を正確に説明する言葉で表示することです。16進数の未加工データは、何を承認しているのかユーザーが把握しにくく、ブラインド署名のリスクを生みます。

2026年5月、Ethereumエコシステムは、人が読み取れるトランザクション承認の改善に焦点を当てた協調的なClear Signingイニシアチブを発表しました。

Clear Signingへの対応が充実したウォレットでは、トークンの移動、承認、コントラクトの操作、重要な警告などを識別できる場合があります。表示システムがあっても、内容を無視したり、検証せずに詐欺的なアプリケーションを信頼したりするユーザーを守ることはできません。

トークン承認

トークン承認を行うと、スマートコントラクトまたはアドレスに、指定した数量のトークンを使用する権限が付与されます。スワップ、貸付への預け入れ、流動性提供、ステーキングなどのDeFiアクションでは、承認が必要となることが一般的です。

ERC-20トークン標準では、承認された支出者が所有者に代わってトークンを移転できるようにする利用上限の仕組みを定めています。

元のトランザクションが完了した後も、承認が有効なまま残る場合があります。無制限の承認を与えると、現在の残高だけでなく、その後受け取るトークンも危険にさらされる可能性があります。可能な場合は承認数量を制限し、不要になった権限を取り消してください。

Permit署名

Permitを使うと、一部のトークン承認を別個の承認トランザクションではなく、署名済みメッセージで行えます。

ERC-2612 Permit標準は、署名付きの構造化データを通じてトークンの利用上限を拡張します。

悪意のあるサイトが、Permitを無料請求やアカウントログインと説明する場合があります。署名によって、支出者に価値のあるトークンを移転する権限が付与される可能性があります。ウォレットに表示されるトークン、支出者、数量、nonce、期限、ネットワークを明確に確認してください。

トランザクションシミュレーション

ウォレットは、署名前にトランザクションをシミュレーションして、影響を推定する場合があります。プレビューには、アカウントから出入りする予定の資産、新たに作成される承認、エラーの可能性などが表示される場合があります。シミュレーションによって、関数名からは分かりにくい不審な動作を発見できる場合があります。ただし、シミュレーションから実行までの間にブロックチェーンの状態が変わる可能性があるため、安全を保証するものではありません。一部のコントラクトは、後続のトランザクション、外部価格データ、またはシミュレーションで完全に再現されない条件に応じて結果が変わります。

ガス代

ガスは、多くのスマートコントラクトネットワークで計算処理を測定する単位です。ユーザーは通常、トランザクションの処理を受けるためにネットワークのネイティブ資産で手数料を支払います。失敗したトランザクションでも、失敗するまでにバリデーターが計算処理を行っているため、手数料が発生する場合があります。ウォレットは、現在のネットワーク状況と要求されたアクションに基づいてガスを推定します。最終的な費用は初期の推定値と異なる場合があります。手数料を肩代わりするトランザクションに対応したウォレットでは、別の当事者が手数料を支払う場合がありますが、基礎となるアクションは慎重に確認する必要があります。

DeFiウォレットアプリ内のスワップ

DeFiウォレットアプリには、トークンのスワップ機能が組み込まれている場合があります。ウォレットは取引ルートを比較し、見積もりを取得し、価格への影響を推定して、必要なスマートコントラクトのトランザクションを準備できます。スワップには、1つ以上の流動性プールやスマートコントラクトが関わる場合があります。入力トークン、出力トークン、最低受取数量、手数料、ルート、承認、スリッページ許容度を確認してください。インターフェースが統合されていても、流動性、スマートコントラクト、トークン、オラクル、価格操作のリスクがなくなるわけではありません。

貸付と借入

DeFiウォレットアプリでは、貸付市場を表示し、担保の預け入れや暗号資産の借入ができる場合があります。資産を提供すると、預け入れを表すレシートトークンやオンチェーンポジションが発行される場合があります。借入によって債務が発生し、利息によって増加する可能性があります。担保価値が下落すると、強制決済が発生する場合があります。ウォレットのインターフェースだけで、貸付プロトコルの支払い能力や安全性が保証されるわけではありません。担保係数、金利の変動、強制決済の基準、オラクルへの依存、スマートコントラクトのリスクを理解してください。

ステーキング

ウォレットから、ネイティブステーキング、委任ステーキング、プール型ステーキング、リキッドステーキングを利用できる場合があります。ステーキングでは、ブロックチェーンのバリデーションや関連サービスの支援に対して報酬を得られる場合があります。スラッシング、ロックアップ、バリデーターの障害、スマートコントラクトの脆弱性、トークン価格の変動、出金の遅延などのリスクがあります。表示される年率は、法定通貨建てのリターンを保証するものではありません。ウォレットがプロトコルに直接接続しているのか、別のスマートコントラクトを通じて資産を運用しているのか確認してください。

流動性の提供

ウォレットアプリを使って、トークンペアなどの資産を流動性プールに預け入れることができます。プールにおける持分を表すトークンまたはアカウントポジションを受け取る場合があります。リターンは取引手数料、インセンティブ、またはその両方から得られる場合があります。価格乖離、スマートコントラクトの不具合、流動性不足、操作されたトークン、報酬率の変動などにより損失が発生する可能性があります。ウォレットのインターフェースによって操作が簡単になっても、あらゆる経済的リスクが説明されるとは限りません。

ガバナンス

DeFiウォレットアプリでは、ガバナンス提案を表示し、ユーザーが投票に署名できる場合があります。投票権は、トークン残高、委任、ステーキング、スナップショット、その他のプロトコル固有の方法に基づく場合があります。ガバナンスの署名は、オフチェーンの場合もオンチェーンのトランザクションとして送信される場合もあります。提案の情報源を確認し、投票によって何が変更される可能性があるのか理解してください。悪意のある提案は、トレジャリー資産の移転、管理者の変更、プロトコルルールの変更を試みる場合があります。

マルチチェーンウォレット対応

マルチチェーンウォレットでは、複数のブロックチェーンネットワークにまたがるアカウントと資産を管理できます。ネットワークごとに別のアプリケーションをインストールする必要性を減らせます。一方で、複数の手数料資産、アドレス形式、トークンコントラクト、セキュリティモデルを管理する必要があるため、ミスが起きやすくなる可能性もあります。ウォレットがネットワークに対応していても、そのネットワーク上のすべてのトークンや分散型アプリケーションが信頼できるとは限りません。カスタムネットワークやトークンは、確認済みの情報源からのみ追加してください。

クロスチェーンブリッジ

DeFiウォレットアプリから、ブロックチェーンネットワーク間で価値を移動または表現するブリッジに接続できる場合があります。ブリッジは、一方のチェーンで資産をロックし、別のチェーンで対応する資産を発行する場合があります。他のブリッジでは、流動性プロバイダー、メッセージ伝達システム、バーン・アンド・ミント方式が使われます。ブリッジの利用には、スマートコントラクト、バリデーター、カストディ、メッセージ、流動性、送付先ネットワークに関するリスクがあります。ウォレットはブリッジトランザクションを準備できますが、接続されたすべてのシステムの安全性を保証することはできません。

トークンの検出

ウォレットアプリは、ブロックチェーンデータやトークンリストを読み取ってトークン残高を検出できます。未知のトークンは、ユーザーがコントラクトアドレスを手動でインポートするまで表示されない場合があります。トークン名とシンボルは、固有の識別情報ではありません。詐欺師は、正規の資産に似た名前の偽トークンを作成できます。資産をインポート、承認、取引する前に、トークンコントラクトのアドレスとブロックチェーンネットワークを確認してください。

スパムトークンとNFT

攻撃者は、価値のないトークンやデジタルコレクティブルを公開ウォレットアドレスに送る場合があります。資産名やメタデータから、フィッシングサイトに誘導される可能性があります。心当たりのない資産を請求、売却、ロック解除したり、それとやり取りしたりする必要はありません。表示上で資産を非表示にする方が、その指示に従うより通常は安全です。表示価格は、誤解を招くメタデータや操作された流動性によって偽装されている可能性があります。

スマートアカウント

スマートアカウントは、スマートコントラクトのロジックを使ってブロックチェーン上の資産とトランザクションを管理します。基本的な単一鍵アカウントでは実装が難しい機能に対応できます。機能には、トランザクションの一括実行、支出上限、複数署名者、遅延復元、セッション権限、手数料の肩代わり、自動化されたポリシーなどがあります。

ERC-4337アカウント抽象化標準は、UserOperationとEntryPointコントラクトを通じたスマートコントラクトアカウント向けの並行トランザクションシステムを定めています。

スマートアカウントは柔軟性を高める一方、コントラクト、実装、アップグレード、リレイヤー、復元に関するリスクを増やします。

EIP-7702ウォレット機能

EIP-7702では、従来型の外部所有アカウントが、アカウントの動作に関するスマートコントラクトコードを承認できます。

既存のアドレスを維持しながら、トランザクションの一括実行、手数料の肩代わり、プログラム可能なセキュリティなどのスマートアカウント機能を利用できる場合があります。悪意のある承認によって、信頼できないコードに危険な権限を与えてしまう可能性もあります。

EthereumのEIP-7702安全ガイダンスでは、アカウントが機能を委任するコードをユーザーが理解する必要があると強調されています。

委任先を確認できない場合、「ウォレットのアップグレード」や「有効化」と説明されたリクエストは拒否してください。

トランザクションの一括実行

スマートウォレットは、複数のアクションをまとめて、ユーザーが一度に承認できる場合があります。一括処理には、トークン承認、スワップ、貸付プロトコルへの預け入れなどが含まれる場合があります。一括処理により時間を節約でき、トランザクションのオーバーヘッドが減る可能性があります。一方で、署名リクエストの内容が分かりにくくなる場合もあります。ウォレットには、最終的な目的だけでなく、一括処理に含まれるすべてのアクションが表示されるべきです。

手数料が肩代わりされるトランザクション

手数料が肩代わりされるトランザクションでは、別の当事者がブロックチェーン手数料の一部または全部を支払います。ネットワークのネイティブ手数料資産を保有していないユーザーも、DeFiアプリケーションを利用しやすくなる場合があります。手数料を負担する側が、上限を設定したり、別の手数料を徴収したり、対応するアクションを制限したり、追加の承認を求めたりすることがあります。ガス代が無料でも、トランザクションが安全とは限りません。手数料負担を伴う操作に使うオフチェーン署名でも、送金や権限を承認する可能性があります。

ソーシャルリカバリー

ソーシャルリカバリーでは、選択したガーディアンや復元手段によってスマートアカウントの管理権限を取り戻せる場合があります。ガーディアンは、信頼できる人物、デバイス、機関、その他のアカウントなどです。復元に必要な承認数を設定すれば、1人のガーディアンだけで管理権限を奪うことを防げる場合があります。一方で、共謀、ガーディアンの侵害、分かりにくい遅延、古い連絡先などの新たなリスクが生じます。誰が復元を開始できるか、どれくらい時間がかかるか、不正な復元をどのように止められるかを理解してください。

パスキー

パスキーは、ユーザーのデバイス、アカウントのエコシステム、またはセキュリティキーに紐付いた公開鍵認証を使用します。スマートウォレットでは、署名や復元の仕組みの一部としてパスキーを利用できます。パスキーによってパスワードへの依存が減り、従来型のフィッシング攻撃の多くに対抗できる場合があります。ウォレットの実装では、デバイスの紛失、クラウド同期、アカウント復元、ブロックチェーンとの互換性、バックアップの安全性にも対処する必要があります。パスキー型ウォレットでは、ウォレット提供者に頼らずアカウントを移行できるか確認してください。

セッションキーと限定的な権限

スマートウォレットは、限定されたアクションを実行するための一時的な鍵を承認できます。セッションキーを利用すると、ゲーム、取引、自動化されたDeFi利用中に繰り返し承認を求められる回数を減らせます。権限は、対象コントラクト、トークン数量、アクションの種類、ネットワーク、有効期限を制限する必要があります。広範または永続的な権限を持つセッションキーは、メインキーとほぼ同じくらい危険になる可能性があります。ユーザーが有効なセッションを簡単に確認し、取り消せることが望まれます。

ウォレットの復元

従来型のウォレットは、シードフレーズで復元することが一般的です。スマートアカウントでは、ガーディアン、パスキー、複数のデバイス、遅延復元、その他のプログラム可能な手順を使う場合があります。多額の資産を入金する前に、復元方法をテストしてください。確認していないバックアップには、スペルミス、フレーズの欠落、誤ったアカウントパス、使用できないデバイス認証情報が含まれている可能性があります。有効な復元用の秘密情報を安全でないデバイスにさらさないよう注意しながら、テストを行ってください。

デバイスを紛失した場合

デバイスを紛失しても、暗号資産を失うとは限りません。正しい復元方法を保持していれば、通常アカウントを復元できます。紛失したデバイスのロックが解除されていた場合や保護が不十分だった場合は、リスクが残る可能性があります。不正アクセスの可能性がある場合は、アプリケーションのセッションを取り消し、関連するパスワードを変更し、資産を移動してください。スマートアカウントでは、復元手続きを通じて紛失した署名者を削除できる場合があります。

シードフレーズが漏えいした場合

漏えいしたシードフレーズは、ウォレットが完全に侵害されたものとして扱ってください。安全なデバイスで新しい復元情報を用いて新しいウォレットを作成してください。残っている資産は、できるだけ慎重かつ速やかに新しいウォレットへ移動してください。ウォレットアプリのパスワードを変更するだけでは不十分です。攻撃者は漏えいした鍵で直接新たなトランザクションに署名できるため、トークン承認の取り消しだけでも不十分です。

偽のDeFiウォレットアプリ

偽のウォレットアプリは、正規製品の名前、ロゴ、スクリーンショット、インターフェースを模倣する場合があります。初期設定時に復元フレーズを盗んだり、署名前にトランザクションの詳細を変更したりする可能性があります。確認済みの開発者が公開しているリンクからアプリケーションを入手してください。提供元の名前、権限、リリース履歴、ウェブサイト、レビューを慎重に確認してください。高評価や洗練されたデザインだけでは、アプリケーションが本物だとは証明できません。

フィッシング対策

フィッシングは、偽サイトへのアクセス、秘密情報の開示、悪意のあるアクションの承認をユーザーに促す詐欺です。

CISAのフィッシング対策ガイダンスでは、緊急性を強調するリンク、添付ファイル、機密情報の要求に注意するよう推奨しています。

ウォレット利用者は、保存したブックマークや確認済みの公式ドキュメントからDeFiアプリケーションを開いてください。資金を直ちに移す必要があるとするメッセージは、別の連絡手段で確認してください。正規のサポート担当者がウォレットのリカバリーフレーズや秘密鍵を求めることはありません。

アドレスポイズニングのリスク

アドレスポイズニングは、攻撃者が管理するアドレスをユーザーのトランザクション履歴に表示させる手口です。攻撃者は、よく使われる送付先に似たアドレスを選びます。被害者が先頭と末尾の文字だけを確認して、後から誤ったアドレスをコピーする可能性があります。重要な送金を行う前に、アドレス全体を確認してください。安全に登録されたアドレス帳や許可リストを使うと、入力ミスを減らせます。

マルウェアのリスク

マルウェアは、ウォレットファイル、シードフレーズ、パスワード、スクリーンショット、クリップボードのデータ、ブラウザーセッション、秘密鍵を検索する可能性があります。コピーしたアドレスを置き換えたり、感染したデバイス上の表示情報を変更したりすることもあります。ウォレット利用者は、OSとアプリケーションを最新の状態に保ってください。不明なブラウザー拡張機能、海賊版ソフトウェア、トークン請求プログラム、心当たりのない添付ファイルは避けてください。ウォレットアプリが安全でも、デバイス周辺から秘密鍵が漏えいすれば保護できません。

承認の管理

ユーザーは、どのスマートコントラクトにトークンの使用を許可しているか確認してください。古い権限が数か月または数年間有効なまま残る場合があります。承認の取り消しには、通常、ブロックチェーントランザクションとネットワーク手数料が必要です。承認を取り消すと今後の利用上限リスクは減りますが、すでに完了した送金は取り消せません。また、秘密鍵やリカバリーフレーズが盗まれたウォレットを安全にすることもできません。

プライバシー

ウォレットアプリは、IPアドレス、デバイス識別子、アプリの利用状況、RPCリクエスト、クラッシュレポート、アカウントアドレスを収集する場合があります。ブロックチェーン自体から、公開トランザクション履歴が明らかになる場合があります。アプリケーションのプライバシーポリシーとテレメトリー設定を確認してください。1つのアプリケーションやネットワークサービスを通じて複数のアカウントを接続すると、それらの関連性が特定されやすくなる場合があります。プライバシーに関する主張は、宣伝文句だけでなく実際のデータの流れに基づいて評価してください。

DeFiウォレットアプリの選び方

ウォレットがセルフカストディ型、カストディアル型、またはその組み合わせのいずれかを確認してください。対応するネットワーク、トークン、スマートアカウント、ハードウェアデバイス、分散型アプリケーションへの接続方法を確認してください。ソースコードが公開されているか、第三者によるセキュリティレビューがあるかを確認してください。トランザクションシミュレーション、Clear Signing、承認管理、アドレス確認、フィッシング警告を確認してください。価値のある資産を入金する前に、復元手順を理解してください。アップデート履歴、脆弱性の報告手順、プライバシー慣行、管理者への依存関係を確認してください。ウォレットは宣伝報酬だけでなく、セキュリティと用途への適合性を基準に選んでください。

DeFiウォレットアプリの手数料

ウォレットアプリは無料でダウンロードできても、統合サービスに関連する手数料を請求したり、手数料を受け取ったりする場合があります。費用には、ブロックチェーンのガス代、スワップ手数料、ブリッジ手数料、ステーキング手数料、ルーティング手数料、購入サービス手数料などがあります。アプリケーションは、ブロックチェーンに支払う手数料とサービス提供者が受け取る手数料を明示するべきです。ガスの推定値が高くても、その差額をウォレット開発者が受け取るとは限りません。表示された手数料の一つだけを見るのではなく、最終的に受け取る資産の数量を比較してください。

税務と記録管理

DeFiウォレットアプリの利用によって、申告対象となる暗号資産トランザクションが多数発生する場合があります。スワップ、報酬、貸付収入、強制決済、ブリッジ、ステーキング、ガバナンス報酬、トークンの処分には、税務上の影響が生じる可能性があります。

IRSのデジタル資産ガイダンスでは、米国においてデジタル資産の収入や取引の申告が必要となる場合があると説明しています。

ウォレットのトランザクション一覧だけでは、すべてのスマートコントラクトとのやり取りの経済的な目的や税務上の扱いが分からない場合があります。タイムスタンプ、トランザクションハッシュ、資産数量、市場価値、手数料、ウォレットアドレス、プロトコルの記録を保管してください。

DeFiウォレットアプリのメリット

DeFiウォレットアプリを使うと、ブロックチェーン上の資産や金融プロトコルに直接アクセスできます。セルフカストディでは、トランザクションの承認を1つの組織に依存せずに済む場合があります。ユーザーはプロトコルごとに別のアカウントを開設せず、互換性のあるアプリケーション間を移動できます。公開されたブロックチェーン記録を通じて、トランザクションやポジションを独自に確認できます。スマートアカウントでは、プログラム可能な復元、支出管理、一括処理、手数料の肩代わりなどを追加できます。ウォレットアプリは、資産管理、DeFi利用、ガバナンス、トランザクション履歴を1つのインターフェースにまとめることもできます。

DeFiウォレットアプリの制約

ウォレットは、取り消しができないブロックチェーントランザクションを取り消せません。セルフカストディでは、鍵と復元方法を失うと資産を永久に失う可能性があります。ウォレットは、接続先のプロトコル、ブリッジ、トークン、スマートコントラクトが安全であることを保証できません。トランザクションの表示が不完全であったり、理解しにくかったりする場合があります。ユーザーは、フィッシング、マルウェア、悪意のある承認、アカウントの権限委任、アドレスポイズニング、ソーシャルエンジニアリングにさらされ続けます。ネットワーク手数料、混雑、トランザクションの失敗、複雑な税務記録によって、DeFiの管理が難しくなる場合があります。スマートアカウントの復元機能や自動化機能には、追加のコードや信頼上の前提が伴います。

よくある質問

DeFiウォレットアプリを簡単に説明すると？

暗号資産アカウントを管理し、分散型金融プロトコルを利用するためのアプリケーションです。

DeFiウォレットアプリに暗号資産は保管されますか？

暗号資産はブロックチェーンに記録され、ウォレットアプリは管理に使う鍵とインターフェースを扱います。

DeFiウォレットアプリとブロックチェーンアカウントは同じですか？

いいえ。アカウントはブロックチェーン上に存在し、アプリはアカウントにアクセスするためのツールです。

DeFiウォレットアプリはセルフカストディ型ですか？

セルフカストディ型のものが多いですが、秘密鍵を誰が管理しているか確認してください。

セルフカストディとは何ですか？

セルフカストディとは、資産の移動やスマートコントラクトとのやり取りに必要な署名権限をユーザーが管理することです。

秘密鍵とは何ですか？

秘密鍵は、ブロックチェーンアカウントからのトランザクションを承認するために使う秘密の暗号情報です。

シードフレーズとは何ですか？

シードフレーズは、アカウントを復元できる単語の列であり、資産と同じように保護する必要があります。

ウォレットのサポートにシードフレーズを復元してもらえますか？

正規のセルフカストディ型ウォレット提供者は、別の復元システムを使用している場合を除き、通常、紛失したシードフレーズを復元できません。

サポート担当者にシードフレーズを伝えてもよいですか？

いいえ。正規のサポート担当者がシードフレーズや秘密鍵を求めることはありません。

ウォレットアプリを削除するとどうなりますか？

ブロックチェーンアカウントは残りますが、再びアクセスするには正しい復元方法が必要です。

同じアカウントを別のウォレットアプリで使えますか？

両方のアプリケーションが同じアカウントと復元形式に対応していれば、利用できる場合があります。

ホットウォレットとは何ですか？

ホットウォレットは、インターネットに接続されたデバイスでトランザクションに便利に署名できるウォレットです。

ハードウェアウォレットとは何ですか？

ユーザーの承認後に秘密鍵を保護し、トランザクションに署名する専用デバイスです。

ハードウェアウォレットは悪意のある承認を防げますか？

いいえ。詳細を確認せずにユーザーが承認すると、有害な承認に署名する可能性があります。

ウォレットを接続するとどうなりますか？

通常、選択した公開アドレスが共有され、アプリケーションが署名やトランザクションを要求できるようになります。

接続直後にウェブサイトがトークンを持ち出すことはできますか？

通常、基本的な接続だけで支出権限は付与されませんが、その後の承認や署名によって権限が付与される場合があります。

ウォレットの接続を解除するとトークン承認も取り消されますか？

いいえ。オンチェーンの承認は、期限切れになるか、使用されるか、取り消されるまで有効です。

トークン承認とは何ですか？

スマートコントラクトまたはアドレスが、指定された数量のトークンを使用することを許可する権限です。

無制限の承認とは何ですか？

承認された支出者が、そのトークンの現在および将来の残高全体を使用できるようにする権限です。

Permit署名とは何ですか？

別個の承認トランザクションなしに、トークンの利用上限を作成または変更できる署名済みメッセージです。

ガス代不要の署名にも危険はありますか？

はい。トークンの支出、注文、アカウントの権限委任など、金銭的に重要なアクションを承認する可能性があります。

Clear Signingとは何ですか？

承認前にトランザクションの影響を分かりやすい言葉で表示する仕組みです。

トランザクションシミュレーションとは何ですか？

ユーザーが署名する前に、実行予定のトランザクションの影響を推定する機能です。

シミュレーションで安全性を保証できますか？

いいえ。シミュレーション後にブロックチェーンの状態やコントラクトの動作が変わる可能性があります。

RPCエンドポイントとは何ですか？

ウォレットがブロックチェーンデータを読み取り、署名済みトランザクションをブロードキャストするためのサービスです。

スマートアカウントとは何ですか？

プログラム可能なスマートコントラクトのロジックで管理されるブロックチェーンアカウントです。

アカウント抽象化とは何ですか？

一括処理、復元、複数署名者、手数料の肩代わりなど、プログラム可能なウォレット機能を利用できる仕組みです。

EIP-7702とは何ですか？

従来型のEthereumアカウントが、アカウントの高度な動作にスマートコントラクトコードを承認できる仕組みです。

EIP-7702による承認は危険ですか？

はい。悪意のあるコードに動作を委任すると、資産やトランザクションに対する広範な管理権限を与える可能性があります。

ソーシャルリカバリーとは何ですか？

選択したガーディアンや復元手段が、スマートアカウントの管理権限を取り戻すのを支援する仕組みです。

パスキーウォレットとは何ですか？

署名やアカウント復元の一部に、公開鍵によるデバイス認証を使うウォレットです。

DeFiウォレットでトークンをスワップできますか？

多くのウォレットアプリは、接続された流動性プロトコルを通じてスワップを準備できます。

DeFiウォレットでステーキングできますか？

多くのウォレットアプリは、ネイティブステーキングやスマートコントラクト型のステーキングシステムに接続できます。

ウォレットを通じて暗号資産を借りられますか？

対象となる担保を使った借入を提供する貸付プロトコルに、ウォレットから接続できます。

ウォレットで強制決済を防げますか？

いいえ。強制決済は担保価値、債務、オラクル価格、プロトコルルールによって決まります。

1つのウォレットを複数のブロックチェーンで使えますか？

マルチチェーンウォレットは複数のネットワークに対応できますが、ネットワークと資産を個別に確認する必要があります。

間違ったネットワークを使うとどうなりますか？

送金やコントラクトとのやり取りが失敗したり、資産の復元が困難になったりする可能性があります。

ウォレット内の未知のトークンは安全ですか？

未知のトークンはスパムやフィッシングの手段である可能性があり、ウォレットに表示されているだけで信頼するべきではありません。

偽のウォレットアプリを見分けるには？

公式提供元のリンク、開発者の身元、権限、アプリケーションの履歴、ドメイン、第三者によるセキュリティ情報を確認してください。

シードフレーズが漏えいした場合、どうすればよいですか？

安全なデバイスで新しいウォレットを作成し、新しい復元用の秘密情報から作成したアカウントに残りの資産を移してください。

悪意のある承認に署名した場合、どうすればよいですか？

信頼できるインターフェースから権限を取り消し、アカウント全体のリスクが不明な場合は資産の移動を検討してください。

DeFiウォレットアプリはどのように選べばよいですか？

カストディ方式、復元方法、対応ネットワーク、トランザクションの分かりやすさ、ハードウェア対応、プライバシー、セキュリティ履歴、スマートコントラクトの権限を評価してください。

まとめ

DeFiウォレットアプリは、ブロックチェーンアカウントを管理し、分散型金融プロトコルを利用するためのインターフェースです。送金、トークンスワップ、貸付、借入、ステーキング、流動性提供、ガバナンス、ブリッジ、その他のオンチェーン活動に利用できます。多くのDeFiウォレットアプリはセルフカストディ型であり、ユーザーが署名権限を管理する一方、その保護にも責任を負います。暗号資産はアプリケーション内に物理的に保管されるのではなく、ブロックチェーンに記録されます。ウォレットは、プロバイダー標準、接続プロトコル、RPCサービス、トランザクション、署名済みメッセージを通じて分散型アプリケーションと通信します。最新のスマートアカウントは、一括処理、手数料が肩代わりされるトランザクション、パスキー、ガーディアン、支出上限、プログラム可能な復元などの機能を追加できます。こうした機能は利便性を高める一方、スマートコントラクトや権限委任に関する追加リスクをもたらします。ユーザーは、単なるアカウント接続と、トークン承認、Permit署名、トランザクション、アカウントレベルの承認を区別する必要があります。Clear Signingやトランザクションシミュレーションは判断に役立ちますが、安全性を保証するものではありません。シードフレーズや秘密鍵を、分散型アプリケーション、サポートアカウント、復元サービスに共有してはいけません。ウォレットを強固に保護するには、確認済みのソフトウェア、安全なバックアップ、承認の制限、アドレス全体の確認、デバイスの更新、すべてのリクエストの慎重な確認が必要です。DeFiウォレットアプリはオープンな暗号資産市場への直接アクセスを提供しますが、技術と署名の影響をユーザーが理解してこそ、そのアクセスをより安全に利用できます。