NFT・エアドロップ詐欺の手口【2026年最新】6パターンの見分け方とウォレットを守る対策

よく使われる手口

• 公式と1文字だけ違う偽ドメイン（azuk1.io、bayc-mint.comなど）
• Discordのサーバーでモデレーターを装ったボットが偽URLを投稿
• 「48時間限定ミント！今すぐここから→[偽URL]」とDMで送りつける

見分け方

• 公式URLは必ずプロジェクトの公式Twitter（X）・公式Discord・OpenSeaから確認
• トランザクション承認前に「何を承認しているか」を必ず確認する
• Discordのリンクは公式アナウンスチャンネル以外のものを信用しない

よく使われる文句

• 「おめでとうございます！あなたのウォレットは500USDTのエアドロップ対象です」
• 「Uniswap・Aaveの新トークンのエアドロップが始まりました」
• 「NFTを無料ミントしてください。ガス代だけ負担してください」

見分け方

• 突然「エアドロップ対象です」と連絡が来ても、公式発表がなければ詐欺
• 「ガス代だけ払えばもらえる」も罠。承認操作で全資産が狙われる
• エアドロップ情報は必ず公式サイト・公式SNSで確認する

手口の特徴

• ウォレットに突然「CLAIM YOUR PRIZE」「FREE ETH GIFT」などのNFTが届く
• NFTの説明・画像にフィッシングURLが書かれている
• 「このNFTを換金するには」という名目でサイトへ誘導する

見分け方・対策

• 見知らぬNFTが届いても絶対にインタラクションしない
• OpenSeaなどの設定で「迷惑NFTを非表示」にしておく
• 不審なNFTをクリックするだけでも情報が抜かれるリスクがある

よく使われる手口

• 「opensea-sale.io」など偽ドメインへ誘導するSNS広告
• 「フラッシュセール：有名NFTが90%オフ！今すぐ→[偽URL]」
• Googleの検索広告に偽マーケットプレイスが表示される（Ad詐欺）

見分け方

• OpenSeaの正規URLは「opensea.io」のみ。必ずブックマークから開く
• Google検索の上位広告リンクは偽サイトの可能性がある。クリック前にURLを確認
• 「安すぎる価格」「緊急セール」は詐欺サイトの演出と疑う

事例

• Bored Ape Yacht Club公式Discordがハックされ数億円の被害が発生（2022年）
• 「モデレーターから」のDMで「限定ミントに招待します」と誘導する手口
• 公式botを装って「ウォレット認証が必要です」と促す

見分け方

• 公式DiscordのURLはプロジェクト公式Twitterで必ず確認する
• 「急なミント情報」は公式Twitter・公式サイトとのクロスチェックが必須
• DiscordのDMで「ウォレット認証」を求める連絡はすべて詐欺

よく使われる手口

• 有名クリエイターのアート・名前を無断使用してツイートで宣伝
• 「有名アーティスト×NFTプロジェクト 限定1,000体ミント開始！」
• 報酬を払って仮想通貨インフルエンサーに宣伝させる

見分け方

• コラボ情報は必ず双方の公式アカウントで発表されているか確認
• 「インフルエンサーが勧めているから安心」は最も危険な思い込み
• 開発チームが匿名・顔なし・実績なしのプロジェクトは高リスク

① setApprovalForAll（全資産承認）

スマートコントラクトの「setApprovalForAll」関数を承認すると、そのコントラクトが保有するウォレット内の全NFTを自由に操作できる権限を与えてしまいます。「Approve All」「Set Approval For All」という表示が出たら即キャンセル。

② Permit（署名による承認）

ERC-20トークン（ETH・USDCなど）に対して「署名（Signature）」を行うだけでトークンの転送権限を与えられる。ガス代不要で署名できるため被害者が軽視しがちだが、署名後即座に全トークンが引き出される。

③ Approve（個別トークン承認）

特定のトークンの全残高操作権限を与える。「Approve: unlimited amount」と表示された場合は無制限承認を意味し、ウォレット内の全残高が対象になる。

① ハードウェアウォレットで主要資産を保管する

Ledger・Trezorなどのハードウェアウォレットに主要な資産を移す。ハードウェアウォレットは物理的な承認が必要なため、フィッシング詐欺による自動引き出しを防げる。

② NFT操作用の「使い捨てウォレット」を用意する

新しいNFTプロジェクトのミント・エアドロップ受け取りには、主要資産とは別の「使い捨てウォレット」を使う。被害を受けてもダメージが最小限に抑えられる。

③ 承認リストを定期的に確認・削除する

Revoke.cash（revoke.cash）や Etherscanの Token Approval Checker で現在の承認リストを確認し、不審な承認を削除する。過去に接続したサイトが後から悪用されるリスクを減らせる。

④ URLを必ずブックマークから開く

OpenSea・MetaMask・主要取引所は公式URLをブックマークに登録し、必ずそこから開く。検索エンジンやSNSのリンクからは絶対に開かない。

⑤ 承認前に必ず内容を確認する

どんな理由があっても、承認画面に「setApprovalForAll」「Unlimited」が表示されたら即キャンセル。承認内容が理解できない場合は絶対に承認しない。

STEP 1｜残存資産を新しいウォレットへ即時移動

承認してしまったウォレットのシードフレーズは漏洩しています。新しいウォレットを作成し、残っている資産をすべて移動してください。時間との戦いです。

STEP 2｜被害の証拠を保全する

Etherscan・TRONSCANで送金TXIDを確認・保存。接続したサイトURL・承認したトランザクション・やりとりのスクリーンショットをすべて保存。

STEP 3｜不正な承認を今すぐ削除する

Revoke.cashで承認リストを確認し、不審なコントラクトの承認をすべて削除する（残存資産への追加被害を防ぐため）。

STEP 4｜専門調査会社・警察に相談する

ブロックチェーン解析で詐欺師のウォレットを追跡し、取引所着金を確認。警察にも被害届を提出する。

回収の可能性は？

NFT詐欺・エアドロップ詐欺はスマートコントラクトを通じた即時引き出しのため、回収は困難なケースが多い。ただし、資金が主要取引所に着金している場合は法的手続きによる凍結・回収の可能性があります。早期相談が鍵です。

Q. ウォレットを「接続しただけ」で資産が消えますか？

A. 接続だけでは消えませんが、接続後に表示されるトランザクションに「承認（Approve）」してしまうと資産が消えます。接続後に何かを承認する前に、必ず承認内容を確認してください。「setApprovalForAll」「Unlimited」が表示されたら即キャンセルです。

Q. 偽ミントサイトでNFTを「買った」つもりが資産が全部消えました。なぜですか？

A. 偽サイトでは「NFT購入」のように見せかけて、実際には「全資産の引き出し承認」トランザクションを実行させています。MetaMaskの承認画面の内容を確認せずに「承認」を押してしまうと、全資産が詐欺師のウォレットに転送されます。

Q. 見知らぬNFTがウォレットに届きました。どうすればいいですか？

A. 絶対にクリック・インタラクションしないでください。OpenSeaなどの設定で非表示（Hidden）にして放置するのが最善です。NFTが届くこと自体は問題ありませんが、そのNFTを操作しようとすると詐欺サイトへ誘導されます。

Q. 被害に遭った直後にすべき一番重要なことは何ですか？

A. 被害を受けたウォレット内に残っている資産を、今すぐ新しい別のウォレットに移動させることです。同じウォレットに残した資産はまだ狙われています。移動後にRevoke.cashで承認削除→証拠保全→専門家相談の順で進めてください。