署名画面を30秒で読むには、何を確認すればいい？

結論（Conclusion）

署名画面で見るのは3つだけ。

1. 種類（message sign / 承認 / 取引）
2. 相手（spender/operator/contract）
3. 範囲（無制限/全権限/最大）

Approve/Permit/SetApprovalForAll が予告なく出たら一段警戒。 違和感があればキャンセルして公式導線を確認する。

背景（Explanation）

危険なのは送金より“権限”。

• ERC-20 Approve
• Permit（署名で承認）
• NFT SetApprovalForAll（全権限）

攻撃はスピードに乗ってくる。 固定チェックリストで押し切りを防ぐ。

実務手順（Practical Guide）

手順1：署名を4タイプに分類する

1. message sign（ログイン系）
2. Approve（allowance）
3. Permit（署名で承認）
4. SetApprovalForAll（NFT全権限）

手順2：30秒チェックを回す

順番：

1. 種類は何？

• Approve/Permit/SetApprovalForAllなら警戒

2. 相手は妥当？

• intended dAppの相手に見えるか
• 覚えがないなら止める

3. 範囲は？

• Unlimited/Max/Infinity？
• NFTは“For all”相当？

4. チェーン/アカウントは正しい？

5. 迷ったらキャンセルして検証

• 別端末で公式URL
• 公式Docsに同操作があるか

手順3：危険シグナルを覚える

• 予告なく権限系が出る
• 無制限/全権限
• 不明な相手
• サポート文脈（verify/fix/security check）
• 焦らせワード（今だけ、期限）

失敗パターン（Pitfalls）

• message signだから安全だと思う
• 面倒で無制限承認に逃げる
• 広告経由でrevokeサイトに入る

チェックリスト（Checklist）

• [ ] 種類を特定した（message/approve/permit/setApprovalForAll）
• [ ] 相手を認識できる（正規dAppに一致）
• [ ] 範囲を理解した（無制限/全権限の有無）
• [ ] チェーンが正しい
• [ ] アカウントが正しい
• [ ] 予期しない権限要求ならキャンセル
• [ ] 公式導線を確認してから再実行
• [ ] 承認は定期棚卸ししてRevokeする
• [ ] 入口はブックマーク固定（広告回避）
• [ ] エアドロ用ウォレット分離がある

FAQ

Q1. message signは安全？

自動的には安全ではない。次の署名で権限要求に変わることがある。

Q2. Permitが危ない理由は？

署名だけで承認が成立するから。「ガスなし＝軽い」ではない。

Q3. 怪しい署名をしてしまったら？

追加操作を止めて、承認を棚卸ししてRevoke。必要なら資産退避。

内部リンク（Internal links）

• 親記事（Hub）：Web3安全運用：まずはここから
• 関連記事：
  • EVMのトークン承認（Approve）を見直す方法
  • エアドロの安全なClaimチェックリスト
  • フィッシング対策チェックリスト（2026）

参考（一次情報）

• ERC-20 Approve: https://eips.ethereum.org/EIPS/eip-20
• EIP-2612 Permit: https://eips.ethereum.org/EIPS/eip-2612

免責

投資助言ではありません。セキュリティの一般的な注意喚起です。