本文へ移動
Financial Context Wiki

エアドロップ用ウォレット隔離計画

不確実な操作を長期保管から分離し、承認、署名、資金経路、プライバシー漏えい、インシデント対応を管理する、脅威モデル主導の手順です。

更新日

教育目的の参考情報であり、投資、法律、税務、セキュリティ上の助言ではありません。オンチェーン取引と署名は、取り消せない損失をもたらす可能性があります。

直接の答え

エアドロップ操作用ウォレットは、不確実なアプリケーションを切り離す区画であり、見えている残高を損失上限として保証するものではありません。長期保管用の鍵を実験的なブラウザーセッションに持ち込まず、定義した作業に必要な分だけ操作用ウォレットへ入金し、チェーン、アドレス、呼び出し、署名をすべて確認します。権限履歴を信頼できなくなった時点で、そのウォレットを廃止または隔離します。

影響範囲を縮小できるのは、各区画が実際に独立している場合だけです。共有シード、侵害された端末、スマートアカウントの所有者、無制限アローワンス、クロスチェーン認可、反復する入金経路、露出した本人情報は、隔離したはずのウォレットを他の資産へ再び結び付ける可能性があります。

仕組み

  1. 接続前に脅威モデルと区画を定義します。長期保管、通常取引、実験的操作、隔離の各用途について、鍵、シード情報、所有者アカウント、端末、ブラウザープロファイル、RPCエンドポイント、復旧経路を共有していないか記録します。
  2. 正確なチェーン、プロジェクトのドメイン、コントラクトアドレス、プロキシ実装、作業の出所を独立した経路で固定します。ソースコード検証済みの表示、ソーシャルアカウント、人気リンクは証拠の一つであり、保証ではありません。
  3. ネイティブGas、トークン、NFTごとに作業予算を設定します。保管用ウォレットをアプリケーションへ接続せずに済む経路から直前に資金を入れ、ブリッジ、スワップ、出金、緊急時のGasも台帳に含めます。
  4. 各トランザクションと署名をデコードします。chainId、to、ネイティブ value、関数セレクター、トークン、spenderまたはoperator、金額、期限、nonce、検証コントラクト、バッチ呼び出し、さらに delegatecall、モジュール、セッションキー、EIP-7702委任の効果を確認します。
  5. プロトコルが対応する場合は、正確な権限または上限付き権限を優先します。ERC-20の approve アローワンス、ERC-2612の permit 署名、NFTの setApprovalForAll、スマートアカウント権限、通常のログイン署名を区別します。Gas不要の署名でも資産移転を認可できます。
  6. シミュレーション後、信頼できるウォレットから提出し、確認画面だけでなく実際の状態を照合します。正しいチェーン上で、レシート状態、移転、アローワンス、NFT operator、スマートアカウントの所有者またはモジュール、残高、Gas、送付先アドレスを確認します。
  7. 作業後は、確認済み経路から目的の資産を移し、不要なオンチェーン権限を取り消し、サイト接続は別途解除し、証拠を保存します。不審な署名、鍵の露出、説明できない状態変化があればウォレットを隔離します。鍵が侵害された可能性がある場合、取消しに頼らず、新しい鍵への退避を優先します。

計算例

  • 入金額は予算であり、厳格な損失上限ではない。 操作用ウォレットに 0.08 ETH を入れ、その時点のETH価格が $2,400、さらに 180 USDC を保有するとします。代替性資産の時価残高は 0.08 * $2,400 + $180 = $372 です。Gasに 0.012 ETH を使うと、残る 0.068 ETH は $163.20 相当で、180 USDC と合わせて $343.20 です。この数値はNFT価値、将来の入金、未解消の権限、ブリッジ済み資金、共有鍵のエクスポージャーを含みません。したがって $372 は入金予算であり、保証された最大損失ではありません。
  • 上限付きERC-20アローワンス。 ウォレットに 1,000 USDC があり、spender S に 250 USDC を承認します。正当な呼び出しが 120 USDC を使うと、トークン残高は 880 USDC、残るアローワンスは 130 USDC です。今後使わないなら、オンチェーンで 0 USDC を承認すると、そのERC-20アローワンスを取り消せます。ウェブサイトとの接続解除は取消しを実行せず、無制限アローワンスは現在の残高だけでなく将来の入金も危険にさらします。
  • 署名は後の状態を変え得る。 ERC-2612 permitで、所有者 A、spender S、value 300 USDC、nonce 41、1,800 seconds 後の期限、トークン検証コントラクト、有効な chainId に署名します。リレイヤーが提出するとpermit nonceは 42 になり、S が 180 USDC を使います。初期 1,000 USDC から、残高は 820 USDC、残るアローワンスは 120 USDC です。署名時に A はGasを支払いませんが、提出後には支出権限が生じます。
  • セキュリティ台帳と採算台帳を分ける。 キャンペーンの配布額が 420 USDC で、ウォレットがGasに 0.035 ETH、ETH価格は $2,200、ブリッジと出金手数料に $18、測定したスリッページに $9 を使ったとします。税引前純価値は $420 - $77 - $18 - $9 = $316 です。この結果は、署名が安全だったこと、報酬が無リスクだったこと、同じ手順を繰り返せば利益になることを証明しません。

リスク

  • 共有シードまたは決定論的アカウントツリーにより、複数のアドレスが同じ鍵侵害範囲に入る可能性があります。
  • 侵害された端末、ブラウザー拡張、クリップボード、ウォレットアプリは、名目上のアカウント境界を越えます。
  • 偽ドメイン、偽サポート、QRコード、検索広告により、慎重な手順でも別サイトへ誘導される可能性があります。
  • 検証済みコントラクトや見慣れたフロントエンドにも、脆弱性、アップグレード、設定不備、侵害があり得ます。
  • チェーンを誤ると、同じように見えるアドレスの別デプロイへ資産を送る、または権限を与える可能性があります。
  • アドレスポイズニングと省略表示は、先頭または末尾の文字だけを比較する確認を破ります。
  • ERC-20アローワンスが作業額を超え、将来の入金にも使われ続ける可能性があります。
  • ERC-721またはERC-1155のoperator承認は、単一トークンではなくコレクション全体を対象にする場合があります。
  • ERC-2612 permitなどの型付き署名は、署名者が直ちに取引を送らなくても権限を生じさせます。
  • 弱いドメイン分離、長い期限、プロトコル固有のnonce処理は、リプレイや遅延提出のリスクを生みます。
  • personal_sign のブラインド署名や不透明なcalldataは、注文、認可、所有者変更、移転を隠す可能性があります。
  • バッチに予期しない呼び出し、ネイティブvalue移転、delegatecall、部分失敗方針が含まれる場合があります。
  • スマートアカウントのモジュール、セッションキー、復旧ガーディアン、EIP-7702委任先は、一回のdappセッションより長く残り得ます。
  • サイト接続を解除しても、オンチェーンのアローワンス、operator、permit、モジュール、委任は取り消されません。
  • 取消しはフロントランニングされる、失敗する、誤ったチェーンを対象にする、または攻撃者の使用後に到着する可能性があります。
  • ブリッジには、送信元チェーン、送信先チェーン、メッセージ、リレイヤー、流動性、ファイナリティの障害モードがあります。
  • 公開された保管用アドレスから入金して戻すと、ウォレットの関連が露出し、標的型フィッシングを招きます。
  • シビル対策、本人確認、プロジェクト規約により、技術的操作が成功しても報酬が無効になる可能性があります。
  • Gas、スリッページ、トークン税、流動性不足、無価値な報酬によって採算がマイナスになり得ます。
  • 鍵の紛失、不完全な記録、マルウェア、制裁、税務、対応の遅れにより、小さな実験が大きな運用損失になります。

よくある誤解

  • バーナーウォレットを使えば、どのサイトや署名も安全になる。
  • ウォレットに見える残高が、最大損失である。
  • Gas不要またはログインに見える署名では、資産を動かせない。
  • dappとの接続を解除すれば、オンチェーン権限も取り消される。
  • 信頼できる画面上で悪意ある内容を承認しても、ハードウェアウォレットが守ってくれる。

関連トピック

出典

ナビゲーション

Wiki を検索...