ウォレットのダウンロードが本物だと確かめるには、検索結果や広告、誰かから送られてきたリンクから始めては決していけません。ウォレットの公式ドメインを自分で入力し、そのページからストアへのリンクをたどり、公開元の名称とストア掲載ページの履歴が一致することをインストール前に確認しましょう。WATSの場合、唯一の正規の入手元は公式のWATSダウンロードページであり、そこからChrome拡張機能とモバイルアプリについて、各ストアにつき一つだけの掲載へリンクしています。ほぼすべての偽物を暴く手がかりは、どこでも同じです。正規のウォレットが既存のリカバリーフレーズを求めるのは、あなたが自分の意思で復元を選んだときだけであり、何かを「検証」「同期」「ロック解除」するために求めることは決してありません。WATSは完全に非カストディアルで、鍵を保持するのはあなたであり、WATSが鍵を保持することは決してありません。したがって、あなたを確認するためにシードフレーズを必要とするWATSの画面など存在しません。アプリやポップアップ、「アップデート」ページがその単語を求めてきたなら、それは名乗っているとおりのウォレットではありません。
ほぼすべての偽物に勝つ、たった一つの原則
偽のウォレットアプリは、高度なマルウェアではありません。本物のウォレットの名前、アイコン、スクリーンショットをコピーし、たった一つの目的で包んだだけのものです。すなわち、攻撃者が支配する画面にあなたのリカバリーフレーズを入力させること。この単純さゆえに偽物は今も通用し続けており、だからこそ対策はセキュリティの学位ではなく、いくつかの習慣で足ります。どこから始めるかを自分で管理し（公式ドメイン）、その掲載を誰が公開したのかを確認し、自分から始めたのではないシードフレーズの要求はすべて拒むことです。
偽のウォレットアプリは、実際どうやって暗号資産を盗むのか
求めてくるのです。手順のどこか——「ウォレットをインポート」のステップ、「ウォレットを検証してください」の画面、「アカウントを同期してください」の案内——で、アプリはおなじみの12語または24語の入力欄を表示します。あなたが入力し終えた瞬間、その単語は運営者へ送られ、リカバリーフレーズを握った者が、そこから導き出されるすべてのアカウントを支配します。資産の抜き取りはたいてい自動化されており、数日ではなく数分で終わります。
辛抱強い偽物すらあります。残高は公開されたブロックチェーンのデータであるため、クローンは動作するウォレットのように振る舞い、あなたの実際の保有資産を表示しながら、運営者は残高が育つのを待って一気にさらっていくこともできます。正常に動作していることは、そのアプリが本物である証拠にはなりません。
偽アプリが本当に公式アプリストアに入り込むことはあるのか
あります。しかも繰り返し起きています。ストア審査は悪意あるコードの挙動を捉えるために作られていますが、偽のウォレットにはそうした挙動がまったく含まれないことが多く、技術的にはテキスト入力フォームがあるだけのアプリにすぎません。特定のブランドへのなりすましはポリシー違反ですが、たいていはユーザーからの報告を受けて初めて摘発されます。だからこそクローンは、現れ、収穫し、削除され、新しい開発者アカウントで再び現れる、というサイクルをたどります。結果として、二つの主要なモバイルストアのどちらでも、いたちごっこが繰り返されています。
検索広告は第二の戦線です。自然検索結果の上にある有料枠は、ウォレットのダウンロードページを装ったフィッシングサイトに何度も買われてきました。同じロゴ、そっくりのドメイン、ちゃんと動くボタン。広告の掲載位置は勝ち取ったものではなく借りたものです。既定では信用しないものとして扱いましょう。
ブラウザ拡張機能と偽の「アップデート」はどうか
拡張機能ストアにも同じクローンの問題があり、さらにもう一ひねり加わります。ウォレットの拡張機能に「アップデートが必要」だとか、「セッションの有効期限が切れた」、あるいはウォレットを「再検証」しなければならないと主張するポップアップやウェブサイトです。それらの道はどれも同じ場所へ通じています。シードフレーズを求めるページです。本物の拡張機能はブラウザを通じて静かに更新されます。正規のアップデートがリカバリーフレーズの再入力を求めることは決してありません。
もっと静かなリスクもあります。拡張機能の持ち主が変わることです。正規のツールが売却されたり、開発者アカウントが乗っ取られたりして、その後のアップデートが敵対的なものに変わる場合があります。拡張機能の数を絞り、習慣を引き締めておくこと——暗号資産ウォレットのセキュリティのベストプラクティスで扱っています——が、被害の及ぶ範囲を限定します。
本物のウォレットのダウンロードをどう確かめるか
- 公式ドメインから始める。 自分で入力するか、以前に作っておいたブックマークを使いましょう。検索広告でも、DMでも、リプライに貼られたQRコードでもありません。WATSであれば、公式のダウンロードページです。
- そのページからストアのリンクをたどる。 公式サイトは各ストアにつきちょうど一つの掲載へリンクしています。そのリンクこそが唯一の拠りどころです。
- 開発者名を確認する。 掲載ページの公開元は、企業名と完全に一致していなければなりません。クローンは、よく似た綴りや誤字、ありふれたスタジオ名を使います。
- 掲載の履歴を読む。 定着したウォレットには何年分ものレビューがあり、Google Playであれば膨大なインストール数もあります。先月現れたばかりでレビューがほんの数件しかない「人気ウォレット」は、星の評価がいくつであれ危険信号です。
- 拡張機能では、その掲載そのものを確かめる。 公式サイトのリンク経由でのみインストールし、インストール後にもう一度、開発者欄を確認しましょう。
同じ「まず証拠から」という習慣は、ダウンロードだけでなく製品の主張にも当てはまります。特定のウォレットが安全かどうかを見極める方法で挙げた問いは、すでに使っているものも含め、あらゆるウォレットに投げかける価値があります。
本物の掲載とクローン — 見分けの手がかり
| 手がかり | 本物のウォレット | 偽のウォレット |
|---|---|---|
| どうやって見つけたか | 公式ドメイン、そしてそこからストアのリンク | 広告、DM、検索結果、SNSのリプライ |
| 開発者名 | 企業名と完全に一致 | よく似た綴り、誤字、ありふれたスタジオ名 |
| 掲載の履歴 | 何年分ものレビュー、一貫した更新（Androidでは多数のインストール数） | 新しい掲載、少ないレビュー、コピーされたスクリーンショット |
| シードフレーズ | 自分で復元を選んだときだけ求められる | 「検証」「同期」「アップデート」のためだと称して要求される |
| アップデート | ストアやブラウザを通じて静かに | ポップアップと外部の「アップデート」ページ |
偽アプリにシードを入力してしまったら
そのフレーズは、キーボードを離れた瞬間に漏洩したものとみなしてください。取り消しはできず、資産を抜き取るスクリプトの動きは速いのです。いまは確実さよりも速さが重要です。
- 検証済みのダウンロードで、まっさらなリカバリーフレーズの新しいウォレットを作る。 暗号資産ウォレットの設定方法にある手順は数分で終わります。
- すぐに資金を移す。 価値の高いものから順に、まずネイティブコイン、次に主要トークン、その後に残りを。相手は人間ではなく自動化されたスクリプトだと考えて動きましょう。
- 漏れたフレーズを二度と使わない。 そこから導き出せるアドレスは、空のものも含めてすべて永久に焼き切れています。あとからそこへ送ったものも、同じく晒されます。
- 偽物を報告する。 ストアと、なりすまされているウォレットのチームの双方へ。削除は次の誰かを守ります。
WATSはどこに位置づけられるか
WATSは、Chrome拡張機能、モバイルアプリ、Hot Wallet、NFC Metal Cardという四つの製品すべてにおいて完全に非カストディアルです。鍵を保持するのはあなたであり、WATSが鍵を保持することは決してありません。したがって、本物のWATSのビルドが、アカウントを「検証」「同期」「ロック解除」するために既存のリカバリーフレーズを求める理由はどこにもありません。WATSのアプリがフレーズを求める場面はちょうど一つ、すでに自分のものであるウォレットを、自分の意思で復元すると選んだときだけです。それ以外でWATSの名を騙るものは、アイコンがどれほど本物そっくりでも偽物です。
偽造ハードウェアはまさにこの混同につけ込むため、WATS固有の点を一つはっきり述べておきます。WATS NFC Metal Cardは、秘密鍵もシードフレーズも保管しません。ちょうど一台の端末とペアリングされる固有のカードIDを用いて、WATSアプリの中に留まる鍵に対してタップで認証するものです。ですから、本物のWATSカードがリカバリーフレーズをあらかじめ内部に書き込んだ状態で届くことは決してありません。単語があらかじめ入った状態で届く「ウォレットカード」は、どんなブランドが刻まれていようと、侵害されたものとして扱ってください。
実際にやるべきことは小さく、一度きりで済みます。WATSは公式のダウンロードページからインストールし、広告や検索結果、DM、リプライのQRコードからは決してインストールしないこと。インストール前にストア掲載ページの公開元の名称を確認し、そのページをブックマークしておけば、今後のインストールもアップデートも、すでに信用したリンクから始められます。そのうえで、WATSが生成したリカバリーフレーズを書き留めてオフラインで保管し、後からそれを求めてくる画面はどんなものであれ攻撃だとみなしてください。
よくある質問
ウォレットアプリが偽物かどうか、どうすれば見分けられますか？
インストールする前に三つを確認してください。どこで見つけたか、誰が公開しているか、そして何を求めてくるか、です。本物のウォレットには公式ドメインからたどり着き、そのストア掲載ページには企業の正確な開発者名が表示され、レビューとインストールの長い履歴があります。そしてリカバリーフレーズを求めてくるのは、あなたが自分の意思で復元を選んだときだけです。「検証」「同期」「アップデート」のためだと言ってシードフレーズを要求するアプリは偽物です。閉じてください。
本物のWATSウォレットをダウンロードしていると、どうすれば分かりますか？
WATSは公式のWATSダウンロードページからのみインストールしてください。そこには、Chrome拡張機能とモバイルアプリについて各ストアの正規の掲載が一つずつリンクされています。インストール前に、その掲載ページの公開元の名称が一致しているかを確認しましょう。WATSは完全に非カストディアルで、鍵を保持するのはあなたであり、WATSが鍵を保持することは決してありません。したがって、本物のWATSのビルドが何かを「検証」「同期」「ロック解除」するために既存のリカバリーフレーズを求めることはなく、求めるのはあなたが自分の意思でウォレットの復元を選んだときだけです。広告やDM、検索結果から「WATS」のダウンロードにたどり着いたのであれば、それを閉じて、公式サイトからやり直してください。
偽のウォレットアプリがApp StoreやGoogle Playに入り込むことはありますか？
あります。人気ウォレットのクローンは二つの主要ストアのどちらにも繰り返し現れており、新しいものが今も次々と浮上しています。ストア審査は悪意あるコードを捉えるために設計されていますが、偽のウォレットはシードフレーズを集めるだけのフォームであることが多く、なりすましはたいていユーザーからの報告を受けて初めて削除されます。そしてこのサイクルは新しい開発者アカウントのもとで繰り返されます。だからこそ、出発点はストア内の検索ではなく公式ウェブサイトであるべきなのです。
WATS NFC Metal Cardは、偽のウォレットアプリから守ってくれますか？
それ単体では守れません。そしてその理由を知っておく価値があります。WATS NFC Metal Cardは秘密鍵もシードフレーズも保管しません。ちょうど一台の端末とペアリングされた固有のカードIDを用いて、WATSアプリの中にある鍵に対してタップで認証するものです。つまり、本物のWATSカードがリカバリーフレーズをあらかじめ内部に収めた状態で出荷されることは決してなく、単語があらかじめ入った状態で届く「ウォレットカード」は侵害されたものとして扱うべきだということです。同時にそれは、シードフレーズが漏れればカードの有無にかかわらずウォレットは抜き取られるということでもあり、頼んでもいないのにその単語を求めてくる要求をすべて拒むことが、やはり本当の防御なのです。
偽アプリにシードフレーズを入力してしまったら、どうすればよいですか？
そのフレーズはすぐに盗まれたものとみなしてください。抜き取りはたいてい自動化されていて速いのです。検証済みのダウンロードで、新しく生成したリカバリーフレーズを持つ新しいウォレットを用意し、価値の高い資産から順にすべてをそちらへ移してください。漏れたフレーズを二度と使ってはならず、そこから導き出されるどのアドレスにも資金を戻してはいけません。それらのアカウントは、手つかずに見えても永久に侵害されています。最後に、他の人を守るため、その偽アプリをストアに報告しましょう。