分散型金融（DeFi）で詐欺を見抜く方法

要点分散型金融（DeFi）のオープンで許可不要な性質が、詐欺師にとって魅力的なものになっています。どんな警告サインを見ればよいかを知っておくことで、より情報に基づいた判断がしやすくなります。
DeFiプロトコルを評価する際には、そのプロジェクトの目的、開発活動、そしてスマートコントラクトの監査履歴を確認することが、最初のステップとして挙げられます。
匿名チーム、集中したトークン保有、そして監査がないことはよくある危険サインです。これらは単独では詐欺を保証しませんが、リスクを高めます。
ラグプル、偽のトークン承認リクエスト、フィッシング攻撃は、DeFiで詐欺師が資金を盗む最も一般的な方法の一部です。
いかなるDeFiプロトコルに資金を預ける前にも必ず自己調査（DYOR）を行ってください。失われた資金を回収する中央の権限は存在しません。
はじめにDeFiは、従来の仲介者に頼らずに借りる・貸す・取引する・稼ぐという、まったく新しい方法を実際に生み出してきました。ですが、その革新性を支える同じ「開放性」が、悪意ある行為者の標的にもなるのです。誰でもプロジェクトを立ち上げられ、ユーザーに届く前に不正行為を止める門番（ゲートキーパー）は存在しません。
このガイドでは、DeFiプロジェクトを評価する際に確認できる主要なシグナルをまとめています。これらの確認は、それぞれ単独では確実とは言えません。しかし、複数を組み合わせて使うことで、最も分かりやすい落とし穴を避けるのに役立ちます。
プロジェクトの目的とは？基本ですが重要な疑問です。このプロジェクトは実際に何をしているのでしょうか？新しいDeFiプロジェクトの多くは、既存のプロトコルのコピーであり、意味のある改善がありません。注目を集めるために活発な市場の時期にローンチし、資金を集めてから姿を消します。
そのプロジェクトが本当の課題を解決しているかを問いかけてください。仕組みがどう動くのかを明確に説明していますか？ホワイトペーパー、ドキュメント、または公開されたロードマップはありますか？自分たちの価値を明確に語れないプロジェクトは、注意して扱う価値があります。
また、そのプロジェクトが新しいものを作っているのか、それとも既存のアイデアに単にトークンを追加しているだけなのかも考えてみてください。本物の革新は正当性の保証ではありませんが、それが欠けていることはイエローフラッグになりえます。
開発活動と透明性正当なDeFiプロジェクトは通常オープンソースです。つまりコードを読むことができ、少なくともそれが存在し、更新されていることを確認できます。GitHubのようなプラットフォームでの開発者活動は公開されており、そのチームが実際に作業しているかどうかの大まかな判断材料になります。
活発なコミット、明確なドキュメント、バグ修正の履歴は、関与しているチームを示唆します。一度セットアップされてから一切更新されていないリポジトリは、短期的な運用を示している可能性があります。この指標は操作されることもありますが、それでも、より広いデューデリジェンスの一部として確認する価値はあります。
スマートコントラクトの監査DeFiプロトコルはスマートコントラクト上で動作します。スマートコントラクトはブロックチェーン上で自動実行されるプログラムです。コードに脆弱性が含まれている場合、攻撃者はそれを悪用して資金を流出させる可能性があります。スマートコントラクトの監査とは、そのような弱点を特定するために独立したセキュリティ会社がコードをレビューすることです。
すべてのプロジェクトが監査を受けているわけではありません。監査は費用がかかり、一部の詐欺プロジェクトは監査を完全に省略します。もし監査が行われているなら、どの会社が実施したのか、いつ行われたのか、そして指摘事項が対応されているかを確認してください。ローンチの数か月前に、知られていない機関による監査である場合、その価値は、実績のある会社による最近の監査よりも低くなります。
重要なのは、監査が問題なく通っていても、プロトコルがリスクフリーであることを意味しないという点です。監査が完了した後に新たな脆弱性が生まれることもあり、また一部の悪用はコードのエラーではなくロジックを狙います。
チームの匿名性と説明責任暗号の世界には、仮名のビルダーが活動してきた長い歴史があります。ビットコインの創始者サトシ・ナカモトは、これまで特定されていません。匿名チームは自動的に怪しいとは限らず、仮名の創業者による正当なプロジェクトも存在します。
ただし、チームが匿名であるほど、何か問題が起きた際に説明責任を追及しにくくなります。実社会での評判がある創業者は、詐欺を実行することで失うものが大きくなります。もしチームが匿名なら、正当性の他の手掛かり（過去のプロジェクト実績、コミュニティへの関与、第三者による監査など）を探してください。
トークンの配分とトークノミクスプロジェクトのトークノミクスを確認するとは、トークンがどのように作られ、配分され、分配されるのかを理解することです。よくある詐欺の仕組みとして、プロジェクト関係者（インサイダー）が総供給の大きな割合を保有し、トークン価格が上がった時点で売り抜けて、他の人々の市場を崩壊させるケースがあります。
トークン配分の内訳に関する公開情報を探してください。チームはどれくらい保有していますか？すぐに売却できないようにするためのベスティングやロックアップ期間はありますか？トークンは公正な公開プロセスを通じて配布されましたか、それとも独占的なプレセールですか？
高度に集中した供給量があるからといって、それが必ず詐欺を意味するわけではありませんが、少数のグループが価格に大きな影響を与えうる状況を作り出します。配分情報が見つけにくい、または意図的に曖昧である場合は警告サインとして扱ってください。
出口詐欺のサインラグプルは、プロジェクトの開発者が突然資金を引き出す、または流動性を削除してしまい、トークン保有者が売れなくなることで起こります。これはDeFiにおける最も一般的な詐欺のタイプの1つです。
多くの新しいトークンは、自動マーケットメイカー（AMM）の流動性プールを使ってローンチされます。もしチームが自分たちのトークンに対する流動性の大部分を提供している場合、いつでもそれを引き上げることができ、結果として市場を実質的に破壊してしまいます。流動性ロックアップ（一定期間引き出せない）のような、流動性の検証を行うプラットフォームは、この点での保護を1つ追加してくれます。
イールドファーミングの仕組みでは、詐欺師がユーザーに対し、資金を先にコントラクトへ預けさせ、その後に資金を抜き取ることがあります。異常に高いとされる利回りの宣伝、迅速に行動するよう強い圧力、そして監査がないコントラクトは、この種のスキームでよく見られるサインです。
フィッシングと承認詐欺プロジェクトチームによる露骨な詐欺に加えて、個々のユーザーがフィッシング攻撃の標的になることもよくあります。これらはしばしば、正規のDeFiプロジェクトを装う偽のWebサイトやソーシャルメディアのアカウントを使い、ウォレットの認証情報を盗んだり、ユーザーに悪意のあるトランザクションへの署名をさせたりすることを目的としています。
これより一段ターゲットを絞った手口が「偽の承認（approval）詐欺」です。DeFiプロトコルとやり取りすると、ウォレットがあなたのトークンを支払うために、そのコントラクトへの承認を求める場合があります。悪意のあるコントラクトは無制限の承認を要求し、ウォレット内の特定タイプのトークンすべてにアクセスできるようにします。承認リクエストは必ず慎重に確認し、今後使わない可能性があるコントラクトから承認を取り消せるツールの利用も検討してください。
アドレス・ポイズニングは、2022年後半から注目を大きく集めた別の戦術です。攻撃者は、あなたが以前にやり取りしたことのあるアドレスに非常によく似たウォレットアドレスから、少額のトランザクションを送ります。取引履歴から直近のアドレスを注意深く確認せずにコピーすると、誤って攻撃者に資金を送ってしまう可能性があります。送信前に、アドレスの文字を1文字ずつ必ず確認してください。
フラッシュローンとオラクル操作一部の攻撃は、個々のユーザーではなくDeFiプロトコルの基盤となる仕組みを狙います。フラッシュローン攻撃では、単一のトランザクション内で大量の資産を借り、その資産を使って市場価格やプロトコルの状態を操作し、ブロックが閉じる前にローンを返済します。攻撃者は利益を得る一方で、プロトコルやユーザー側が損失を被ることがあります。
オラクル操作も関連しています。DeFiプロトコルは、資産の価値を判断するために価格オラクルに依存することがよくあります。攻撃者が価格フィードを操作できるなら、貸付やデリバティブのプロトコルを悪用できる可能性があります。複数の独立したオラクルや、時間加重平均価格（TWAP）を使用しているプロジェクトは、この種の攻撃に対して一般に耐性が高いです。
これらの攻撃タイプは、「プロジェクトが明確に詐欺かどうか」を見極めるよりも、「特定のプロトコルを使うべきか」を評価する際により関係します。ドキュメント上で既知の攻撃ベクトルに対処していないプロトコルは、セキュリティが低い可能性があります。
よくある質問（FAQ）最も一般的なDeFi詐欺にはどんなものがありますか？ラグプル、出口詐欺、フィッシング攻撃、偽のトークン承認リクエスト、アドレス・ポイズニングなどが、最も一般的なタイプの一つです。攻撃者によっては、スマートコントラクトの脆弱性を悪用したり、価格オラクルを操作してプロトコル資金を引き出したりすることもあります。
DeFiプロジェクトが監査を受けているか確認するにはどうすればいいですか？正規の多くのプロジェクトは、監査レポートを公式サイトやドキュメントにリンクしています。また、大手監査会社のWebサイトで直接確認することもできます。監査レポートが入手できない、または検証できない場合は、リスク要因として扱ってください。
匿名チームによるDeFiプロトコルの利用は安全ですか？匿名チームは、必ずしも詐欺とは限りません。しかし、説明責任が下がる傾向があります。監査履歴、オープンソースのコード、チームトークンのロックアップ期間、コミュニティでの活発な実績など、他の信頼の手掛かりを探しましょう。単一の要素に頼るのではなく、これらを総合的に判断することが大切です。
ウォレットでトークンの支出を承認する前に、何を確認すべきですか？承認前に、コントラクトアドレスが公式のプロジェクトドキュメントと一致しているか確認してください。無制限の承認リクエストには注意が必要です。これは、特定タイプのトークンすべてをコントラクトが支出できる権限を与えるものです。今後使わないコントラクトからの承認は取り消しましょう。休眠状態の承認は、後にそのコントラクトが侵害された場合に悪用される可能性があります。
DeFi詐欺で失った資金は取り戻せますか？ほとんどの場合、いいえ。ブロックチェーンの取引は不可逆です。詐欺コントラクトや誤ったアドレスに送った資金は、一般的に回収できません。一部のプロジェクトでは、盗まれた資金を自発的に返したケースもあります。また、当局が追跡して資産を押収できた、注目度の高い事例もありますが、これらは例外です。
最後にDeFi詐欺は、分散型金融を価値あるものにしているのと同じ「開放性」を悪用します。仲介者がいないため、何か問題が起きたときに「異議申し立てできる権限」が存在しません。監査やチームの透明性から、トークン分配や承認リクエストに至るまで、本記事で扱ったサインを継続して確認する習慣を身につけることで、よくある詐欺のタイプに対する露出を減らせます。
単一の確認だけでは十分ではなく、慎重に調査してもすべてのリスクをなくすことはできません。DeFiの環境は進化し続けており、詐欺の手口もそれに合わせて変化します。情報をアップデートし、新しいプロジェクトに対して批判的な目で接することは、最も実用的な防御の一つであり続けます。
参考資料（Further Reading）よくある暗号資産詐欺5選と、それを回避する方法
エアドロップ詐欺とは？回避方法は？
DeFiプロジェクトを分析する方法
マルチシグ詐欺とは？回避方法は？
よくあるビットコイン詐欺と、その回避方法

免責事項：このコンテンツは、一般的な情報提供および教育目的のために「現状のまま」提供されており、いかなる種類の表明や保証も行いません。これは、金融・法律・その他の専門的助言として解釈されるべきではなく、特定の製品またはサービスの購入を推奨する意図もありません。適切な専門家アドバイザーからご自身の判断で助言を求めてください。コンテンツが第三者の協力者によって提供されている場合、そこに記載されている見解は第三者の協力者に帰属し、必ずしもBinance Academyの見解を反映するものではありません。デジタル資産の価格は変動する可能性があります。投資した金額の価値は下落または上昇し、投資額を取り戻せない場合があります。あなたの投資判断に対する責任はあなたご自身にあり、Binance Academyは、あなたが被り得る損失について一切の責任を負いません。詳細は、利用規約、リスクに関する警告、およびBinance Academyの規約をご覧ください。