本記事にはアフィリエイト広告（PR）を含む場合があります。
※本記事にはアフィリエイト広告（A8.net）を含みます。記載の内容は2026年8月時点で公開情報を確認した一般的な解説です。
海外のブロックチェーン分析企業の報告では、偽サイトにウォレットを接続させて資産をまとめて送金させる「ドレイナー」型のフィッシング被害が、ここ数年で世界的に急増しているとされています。SNSで流れてきたリンクを開き、表示された画面で数回クリックしただけで、ウォレット内のトークンやNFTが一括で抜き取られる——秘密鍵を誰にも教えていないのに、こうした被害が実際に起きています。
「鍵を渡していないのに、なぜ資産が消えるのか」と疑問に思う方は多いはずです。本記事では、ウォレットドレイナーが資産を抜き取る技術的な仕組みと、サイトに接続する前に確認すべきチェックリスト、万一被害に遭った場合の対応までを整理します。読み終える頃には、どの画面のどの承認ボタンが危険なのかを自分で判断できるようになり、リンクを踏むたびに不安になる状態から抜け出せます。
主要ウォレットの公式ドキュメントと、セキュリティ企業が公開している手口の解説を突き合わせて解説します。順に見ていきましょう。
ウォレットドレイナーとは何か
ウォレットドレイナー（Wallet Drainer）とは、被害者自身にウォレットを接続・署名させることで、資産を攻撃者のアドレスへ一括送金させる悪意あるプログラムの総称です。「ドレイン（drain）」は「排水する・抜き取る」という意味で、その名の通りウォレットの中身を根こそぎ流し出すことを目的としています。
重要なのは、この手口が秘密鍵やシードフレーズを盗まなくても成立するという点です。攻撃者は偽サイト上で「ミントする」「エアドロップを受け取る」といった無害に見えるボタンを用意し、その裏で資産の移転や利用許可を求めるトランザクションを仕込みます。被害者が自分の手で「承認」をクリックすることで、ブロックチェーン上は正規の取引として処理されてしまうのです。
ドレイナーは攻撃者が一から作るとは限らず、詐欺グループに部品として提供される「サービス化」が進んでいるとも指摘されています。手口が量産されやすい構造があるため、個人側の防御知識がいっそう重要になっています。
日本円の入出金に対応した国内の登録業者なら、購入から送金まで一つの口座で完結します。口座開設と維持の費用はかからず、取扱銘柄や手数料体系は公式サイトで確認できます。
口座開設の手順を見る（無料） →PR・GMOコイン（GMOコイン株式会社）。手数料や取扱銘柄は変更されることがあるため、最新の内容は公式サイトでご確認ください。暗号資産は価格変動が大きく、投資判断はご自身の責任でお願いします。
接続しただけでなぜ資産が消えるのか——技術的な仕組み
正確に言うと、ウォレットを「接続」しただけでは資産は動きません。接続はアドレスの開示にとどまります。資産が消えるのは、その後に表示される承認・署名の操作を行ったときです。ここを混同すると危険な操作を見分けられないので、代表的な3つの仕組みを分けて理解しましょう。
approve／permitによるトークン利用許可の悪用
イーサリアム系のトークンには、第三者のコントラクト（ブロックチェーン上のプログラム）に自分のトークンを動かす権限を与える「approve（承認）」という仕組みがあります。分散型取引所を使う際にも必要な正規の機能ですが、ドレイナーはこれを悪用し、無制限の利用許可を攻撃者側に与える承認画面を表示します。一度許可してしまうと、攻撃者は後からいつでもそのトークンを送金できます。署名だけで許可が成立する「permit」という方式もあり、ガス代（手数料）なしで罠が成立する点が厄介とされています。
setApprovalForAllによるNFTの一括許可
NFTの規格には、保有するコレクション内の全NFTの移転権限をまとめて与える「setApprovalForAll」という関数があります。偽のミントサイトなどでこれを承認させられると、そのコレクションのNFTを一括で抜き取られる恐れがあります。
送金トランザクションそのものへの署名
もっとも単純な形として、ネイティブ通貨（ETHなど)を攻撃者へ直接送るトランザクションに署名させる手口もあります。ボタンの表示は「Claim」「Verify」などと偽装されており、画面の文言と実際の処理内容が一致しないのが特徴です。
典型的な誘導手口
ドレイナーサイトへ誘導する入口には、いくつかの定番パターンがあります。入口を知っておくだけでも回避率は大きく上がります。
- 偽エアドロップ・偽キャンペーン：「限定配布」「対象者に当選」などとSNSやDMで告知し、受け取りページと称する偽サイトへ誘導する
- 偽ミントサイト：人気NFTプロジェクトの公式サイトそっくりの偽ページを用意し、ミント操作に見せかけて承認を取る
- 乗っ取られた公式アカウント：プロジェクト公式のSNSやDiscordが乗っ取られ、公式発信としてフィッシングリンクが流れる
- 検索広告・偽ドメイン：正規サービス名で検索した際の広告枠や、スペルを一文字変えたドメインで待ち構える
共通するのは「今すぐやらないと損をする」と焦らせる演出です。公式アカウント経由であっても乗っ取りの可能性がある以上、リンクの出所だけで安全とは判断できないとされています。詐欺の見分け方の基本は仮想通貨詐欺の見分け方ガイドでも詳しく解説しています。
接続前チェックリスト
ウォレットを接続・署名する前に、次の項目を確認する習慣をつけましょう。
- URLを一文字ずつ確認する。公式SNSのプロフィールやブックマークからのみアクセスし、DMや広告のリンクは原則使わない
- 「接続」と「承認・署名」を区別する。接続後に出てくる画面こそが本番だと意識する
- 署名画面の内容を読む。approve、permit、setApprovalForAllといった文字列や、見覚えのないコントラクトアドレスが出たら中断する
- 資産を分ける。日常の操作用ウォレットと保管用ウォレットを分離し、保管用は未知のサイトに一切接続しない
- 不要になった承認を定期的に取り消す（revoke）。過去に与えた利用許可は自動では消えない
特に有効なのが、保管用資産をオフラインのハードウェアウォレットに隔離しておく運用です。仕組みと選び方はハードウェアウォレット解説にまとめています。製品は必ず正規ルートで入手してください（Amazonでハードウェアウォレットを検索する場合も販売元の確認が重要です）。
被害に遭ってしまった場合の対応
署名してしまった、資産が動いたと気づいた場合は、時間との勝負になります。まず残っている資産を新しいウォレットへ退避させます。抜かれた資産の追跡よりも、まだ抜かれていない資産の保護が先です。
次に、承認管理ツールで攻撃者に与えた利用許可を取り消します。許可が残っている限り、後から追加で抜かれる恐れがあるためです。あわせて、同じシードフレーズを使っているウォレットは今後使わない前提で移行を進めるのが安全とされています。
そのうえで、警察のサイバー犯罪相談窓口や、利用している国内取引所への相談を検討しましょう。被害回復は容易ではありませんが、記録（トランザクションID、偽サイトのURL、スクリーンショット）を残しておくことが後の手続きに役立ちます。
よくある質問（FAQ）
ウォレットを接続しただけで資産は盗まれますか？
接続だけではアドレスの開示にとどまり、資産は移動しないとされています。危険なのは接続後に表示される承認・署名の操作です。ただし接続したという事実は攻撃者側に伝わるため、不審なサイトに接続してしまった場合は以後の画面で一切署名せず、タブを閉じてください。
シードフレーズを入力していなければ安全ですか？
いいえ。本記事で解説した通り、approveやsetApprovalForAllへの承認だけで資産は抜き取られ得ます。シードフレーズの入力要求は論外として、それがなくても署名内容の確認は必須です。
一度与えた承認はどうすれば取り消せますか？
承認状況を一覧表示して取り消し（revoke）操作ができる管理ツールが複数公開されています。取り消しにはガス代がかかりますが、不要な承認を放置するリスクの方が大きいと考えられます。定期的な棚卸しをおすすめします。
ハードウェアウォレットを使えばドレイナーは防げますか？
完全ではありません。ハードウェアウォレットでも、本体画面で内容を確認せずに承認すれば同じ被害に遭います。ただし署名のたびに実機での確認が挟まるため、確認の習慣とセットで使えば防御力は大きく上がるとされています。
免責事項：本記事は一般的な情報提供を目的としており、投資助言ではありません。最新の情報は公式情報をご確認ください。
