偽Revoke CashでのScam
NFTに慣れてくるとウォレットを危険から守る為にウォレット認証したサイトからのアクセスを取り消す(Revokeする)習慣が生まれます。そこで使われる代表格がRevoke Cashというサイトです。
しかしこのRevoke Cashの偽サイトが横行しています。
試しにTwitter上でrevoke cashで検索すると・・・、このように本物っぽいものから素人っぽいものまでｗ沢山出てきます。
さて、実際にRevoke CashのScamにはどのような時にひっかかるのでしょうか？
それは普段NFTの取引で使っているマーケットプレイスや持っているNFTプロジェクトのサイトがハッキングされた際に、Revokeして逃げようとする訳ですが、その際に火事場泥棒的にやられます。ホルダーの焦っているところを狙われる訳です。
Revoke CashのScamの一例ですが、リンクをクリックした瞬間にこのようなスクリプトが一瞬走るようです。一瞬なので気付かない人もいるでしょう。中身はWalletの中から保有している高額NFTを割り出しているようです。
そしてサイトを開くと普段使っている人には馴染みのあるシンプルなページが出てきます。しかし、ここで実は過去に接続したことのないNFTでもこのような表示が出ます。殆どの人には過去に繋いだかどうかの記憶はないので信用してしまうでしょう。
特に高額のNFTは心理的に焦ります。そこでRevokeボタンを押すわけですが、そうするとウォレット(ここではMetamask)のPop-upが立ち上がり、確認を押してRevokeに進むことになります。見た目はいつも通りに見えますが、実はからくりが"トランザクションの完全な詳細を表示"に隠されているようです。
そこを開けてみると、通常なら以下のようにSetApprovalForAllのパラメーターがfalseであるはずなのに、trueになっているようです。
実際のものが以下のスクショです。
これにより、そのコレクションの全てがウォレットから引き出されてしまうことになります。
対処法
一番確実なのは、Revoke CashのサイトをBookmarkしておく事です。以下にリンクを張っておきます。もしこのリンクを踏むのが怖いと思う方は、公式のTwitterアカウントは@RevokeCashです。ご自身のフォロワーがフォローしているか確認の上、そこにあるリンクをBookmarkしてみましょう。
また冒頭で書いた通り、常日頃からこまめにRevokeしておくのもいいでしょう。但し、Revokeにはガス代がかかりますので注意です。
それ以外
そのトランザクションを思い留まらせる最後の砦という意味でもハードウェアウォレットは必須です。以下、参考までに最大手のLedger公式リンクです。
Revoke CashのExtentionを導入する事で自分が行おうとしているAllowanceの内容やマーケットプレイスのList内容などPop-upで警告してくれます。