Trust Walletは安全？TRONの承認を取り消す方法

Trust Walletは今安全なのか？

2026年11月15日時点で、Trust Walletアプリの脆弱性は確認されていません。TRONでの最近のUSDT窃盗の波を追跡したBitqueryは、脆弱性の証拠は見つからなかったものの、否定もできないとしています ^[1]。11月12日に数値を検証した同社の報告書では、10月5日から11月11日までに454のTRONウォレットから少なくとも$5.42M（約542万ドル）相当のUSDTが奪われたと集計しています ^[1]。

Bitqueryの説明によると、Trust Walletの名前が挙がるのは、被害者が使っていたと話していること、そして一部の窃盗に関係するiPhoneハッキングキットがTrust Walletを探すことが理由です ^[1]。ブロックチェーンが示すのはアドレス間のお金の動きで、その背後のスマートフォンやアプリではありません。そのためBitqueryがiPhone所有者の公開された証言と照合できたのは1件だけでした ^[1]。

Trust Wallet自身の助言が指しているのはアプリではなくスマートフォンです。11月6日付の投稿で同社は、2つのエクスプロイトキット、CorunaとDarkSwordが古いiOSのiPhoneを狙っていると説明しました。CorunaはiOS 13.0〜17.2.1、DarkSwordはiOS 18.4〜18.7が対象で、「最新のiOSを入れた端末は影響を受けません」としています ^[2]。11月11日には、同社のiOSユーザーはworse_queryという別のエクスプロイトの影響を受けないこと、リカバリーフレーズや秘密鍵を平文で保存することは決してないことも付け加えました ^[8]。

つまり正直な答えはこうです。アプリ自体が破られたことは証明されていませんが、ウォレットの安全性はその背後にある端末とリカバリーフレーズ次第です。流出の全体の経緯は、PouyamのガイドTrust Wallet Hacked? How to Protect Your USDT on TRONをご覧ください。このガイドでは、多くの読者が次に抱く疑問、つまりトークン承認の取り消しで身を守れるのか、どうやって取り消すのかを扱います。

TRONのトークン承認とは？

トークン承認とは、あなたが署名する許可で、スマートコントラクトがUSDTなどのTRC-20トークンを、設定した上限まで、再確認なしにウォレットから移動できるようにするものです ^[4][6]。技術的には、ウォレットがトークンのコントラクトでapprove(spender, amount)を呼び出し、承認されたコントラクトはその後transferFromを呼び出して上限内でトークンを引き出せます ^[4]。

承認自体はごく普通のものです。TRON上の取引所、スワップや貸し出しのアプリは、取引時にあなたのトークンを動かすために承認を求めます ^[5]。問題は、アプリを離れた後も承認が有効なまま残ることです。Trust Walletは、承認が無期限に有効だと気づいていないユーザーが多く、コントラクトが「後から悪意を持つようになった」場合、「追加の確認なしに」トークンを抜き取れると指摘しています ^[3]。

多くのアプリは、再承認の手間を省くために無制限の額を求めます。TronLinkのサポートセンターは、こうした承認によって他のアドレスやコントラクトが「事前の通知なしに」資産を移せるようになると警告し、承認前に製品がオープンソースで監査済みかを確認するよう勧めています ^[5]。TRON Guideは、無制限の承認を上限が可能な最大値に設定された承認と説明し、こうした承認をTRONで最大の攻撃対象領域と呼んでいます ^[6]。

また、承認はトークンごとに1つです。あるアプリへのUSDTの承認を取り消しても、同じアプリに別のトークンで与えた承認は取り消されないため、一つずつ確認して取り消す必要があります ^[10]。

TRONのUSDT流出はトークン承認が原因だったのか？

そうした証拠はありません。Bitqueryによると、最近のTRONでの窃盗犯は最初からウォレットの鍵を持っており、署名によってトークンを差し出させるドレイナーサイトとは異なります ^[1]。この違いが、何があなたを守るのかを決めます。

Bitqueryは被害者を見つけるために使ったパターンを説明しています。手数料用ウォレット、またはそこから資金を受けた回収用アドレスが、ネットワーク手数料を払うために被害者のアドレスへ少量のTRXを送ります。数秒後にUSDT残高全体が1回の送金で出ていき、その後残ったTRXも送られます ^[1]。10月25日のある事例では、18 TRXが届き、18秒後に519,093 USDTが出ていきました ^[1]。Bitqueryは、この流れを秘密鍵またはリカバリーフレーズをすでに持っていた者の仕業と見ています ^[1]。CoindaroはBitqueryの初期の調査結果を伝える中で、Bitqueryは1回の送金でUSDTがすべて抜かれた場合のみ被害ウォレットとして数えたと指摘し、これは「秘密鍵を持つ者による抜き取りのパターン」だとしています ^[7]。

承認を悪用した窃盗は見え方が異なります。攻撃者のコントラクトがtransferFromでトークンを引き出し、手数料も自分で払うため、被害者のウォレットにTRXは必要ありません ^[4]。Bitqueryの報告書ははっきりと「ここでは、窃盗犯はすでに鍵を持っている」と書いています ^[1]。

Bitqueryは、それがなぜ重要かも示しています。あるウォレットは2度空にされました。10月26日に19,069 USDTを失い、新たな入金の後、11月10日にさらに4,140 USDTを失ったのです ^[1]。報告書によると、「空にされたウォレットは、そのリカバリーフレーズが」使われている限り窃盗犯に開かれたままです ^[1]。承認の取り消しではこの扉は閉じられませんでした。それでも取り消しは良い習慣であり、Trust Wallet自身のセキュリティチェックリストにも見覚えのない承認の取り消しが含まれていますが ^[9]、それは第2の手段であり、盗まれた鍵への対策にはなりません。

Trust Walletでトークン承認を取り消すには？

最新版のTrust Walletを開き、資産セクションのApprovalsタブを選び、一覧を確認して、もう信頼していないアプリの横にあるRevokeをタップします ^[3]。Trust Walletによると、この機能は承認時に記録を残し、各アプリがどのトークンにどれだけアクセスできるかを表示し、既知の詐欺に関係するコントラクトに警告を出し、取り消すとブロックチェーン上の承認を削除します ^[3]。

1. まずApp StoreまたはGoogle PlayでTrust Walletを更新します。Trust Walletの手順では最新バージョンが指定されています ^[3]。
2. ホーム画面で、資産セクションのApprovalsタブを開きます ^[3]。
3. 各項目のトークン、アプリまたはコントラクト、上限額を確認します。特にUSDTと無制限の承認に注意してください。
4. 見覚えのないもの、もう使っていないもの、ウォレットが危険と表示するものはRevokeをタップし、取引を確定します ^[3]。
5. ウォレットにTRXを少し残しておきます。TRONでは取り消しもbandwidthとEnergyを消費する取引です ^[4]。

注意点が1つあります。Trust Walletの発表では、Approvalsタブがどのブロックチェーンに対応しているかが書かれていません ^[3][10]。TRONの承認がそこに表示されない場合や、別の画面でも確認したい場合は、アドレスが与えたすべての承認を一覧表示するTronScanを使いましょう。手順は次のセクションで説明します ^[4][6]。

取り消しが効くのは承認だけです。すでに行われた送金は戻せず、他人にリカバリーフレーズを知られたウォレットも守れません ^[10]。

TronScanでTRC-20承認を取り消すには？

TronScanで自分のTRONアドレスを検索し、アカウントページで承認一覧を開いて、不要な承認を一つずつ取り消し、ウォレットで取引に署名します。これで上限がゼロになります ^[4][6]。TronScanはこの取り消し機能を2021年5月14日に追加し、承認の変更履歴も表示しています ^[4]。

1. tronscan.orgはブラウザに自分で入力します。チャットや広告のリンクは使わないでください ^[10]。
2. Tで始まる自分のアドレスを検索バーに貼り付けます ^[6]。
3. アカウントページで承認タブを開きます。レイアウトによってApprovalまたはList of Approvalという名前です ^[4][6]。
4. 各項目のトークン、承認を受けたコントラクト、金額を確認します。不明または未検証のコントラクトと無制限の承認を優先してください。TRON Guideは、確実に特定できないコントラクトの承認を取り消すよう勧めています ^[6]。
5. その行のCancelまたはRevokeをクリックし、そのアドレスに対応するTronLinkなどのウォレットを接続します ^[6]。
6. 署名画面を読みます。トークンのコントラクトで金額0のapproveを呼び出しているはずです。それ以外を求められたら中止してください ^[10]。
7. 確定後に一覧を更新します。TRONでは通常数秒で反映されます ^[6]。

TronLinkの利用者はウォレット内でも同じことができます。TronLinkのサポートセンターは、承認の確認や取り消しにはWallet ManagementからApproval Managementへ進むよう案内しています ^[5]。取り消しやその後の再承認のたびにbandwidthとEnergyを消費し、自前のEnergyがなければネットワークがTRXを燃やして支払います ^[4]。

どのトークン承認を取り消すべきか？

説明できない承認、使わなくなったアプリへの無制限の承認、エアドロップや「認証」、Energyレンタルのサイトに与えたものはすべて取り消しましょう ^[6][10]。使っていて信頼できるサービスの承認だけを残し、また使うときに改めて承認すれば十分です。

以下の表はよくあるケースをまとめたものです。簡単な目安があります。承認先のアドレスが何なのか説明できないなら、それにあなたのUSDTを使わせるべきではありません ^[10]。

偽物のトークンにも注意してください。本物のTetherのコントラクトではない偽の「USDT」への承認は本物のUSDTには手を出せません ^[10]。TRON上の本物のUSDTコントラクトはTR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6tです。行動する前に、TronScanのトークンページでこのアドレスを確認してください。

Bitqueryは窃盗データの中に関連する手口も見つけています。ある回収用アドレスに送金したアドレスの半数以上は、似たアドレスから少額や偽トークンを送りつけるボットでした。これはアドレスポイズニングと呼ばれ、後で誰かが誤ったアドレスをコピーすることを狙うものです ^[1]。送金先アドレスは常に信頼できる情報源からコピーし、取引履歴からは決してコピーしないでください。

リカバリーフレーズが漏れたかもしれない場合は？

ウォレットは侵害されたものとして扱いましょう。最新で安全な端末で新しいリカバリーフレーズのウォレットを作り、残りを移して、古いウォレットは使わないようにします ^[1][10]。Bitqueryによると、リカバリーフレーズを持つ者がお金を握っており、パスワードもスマートフォンへのアクセスも必要ありません ^[1]。

1. まずスマートフォンを更新します。Trust WalletはiPhoneユーザーに、端末で利用できる最新のiOSを入れ、すぐに更新できない場合はLockdown Modeをオンにするよう求めています ^[2]。
2. 新しいウォレットを作成し、新しいリカバリーフレーズを紙に書き留めます。Trust Walletによると、CorunaとDarkSwordは写真、スクリーンショット、メモを探すため、そこには保存しないでください ^[2]。
3. 新しいアドレスに少額をテスト送金してから、残りを移します。手数料用に十分なTRXを残しておきます。
4. 古いウォレットは空のままにします。新たな入金があれば窃盗犯が再び奪える可能性があり、Bitqueryが追跡したウォレットの1つでも実際に起きました ^[1]。
5. 何かおかしいと感じたら、ウォレットアドレスと取引ハッシュを添えてTrust Walletのサポートに連絡してください。Trust Walletは、リカバリーフレーズを求めることも、自分から連絡することも決してないとしています ^[2]。

残高が大きい場合は、メーカーから直接購入したハードウェアウォレットを検討しましょう。すでに資金が盗まれた場合は、Tetherと資金が届いた取引所にすぐ報告してください。BitqueryはUSDTが次に移動する前でなければ凍結できないと指摘しています ^[1]。有料の資金回収サービスを持ちかける人は無視してください。これは一般的なセキュリティの案内であり、金融上の助言ではありません。

偽の承認チェッカーを見分けるには？

TronScan、TronLink、または自分のウォレットのApprovalsタブだけを使い、アドレスは自分で入力してください。偽の「承認チェッカー」サイトは、Revokeボタンが新たな承認に署名させる、よく知られたフィッシングの手口です ^[10]。本物の取り消しは必ず金額をゼロにします。

• 本物の取り消しツールがリカバリーフレーズや秘密鍵を求めることはありません。「すべて取り消す」サイトに貼り付けるのは絶対にやめてください。
• 署名前に関数と金額を確認します。0のapproveは取り消しですが、大きな数字のapprove、送金、権限の変更は取り消しではありません ^[10]。
• 「格安Energy」のレンタルやエアドロップのサイトには注意してください。TronTransferによると、レンタルの承認を求めながら、その署名が実は無制限のUSDT承認になっているサイトがあります ^[10]。
• TronScanでアカウントの権限も確認しましょう。TRONの詐欺の中にはアドレスの管理者を書き換えるものがあり、承認を取り消しても元に戻りません ^[10]。
• Trust Walletのサポートを名乗る人からのダイレクトメッセージは無視してください。Trust Walletは自分から連絡することはないとしています ^[2]。

偽のサポート担当者や回収サービスにお金をだまし取られた場合は、警察や自国のサイバー犯罪の窓口に届け出て、その控えを保管してください。iPhoneのセキュリティについての広い背景は、What Are Passkeys? How Passwordless Sign-In Works and Why It Is Saferをご覧ください。スマートフォンのセキュリティが今や複数のアカウントを守っている理由を説明しています。