DeFi（分散型金融）やNFTの世界では、dApps（分散型アプリケーション）を利用する際に「トークンの承認（Approve）」を求められる場面が頻繁にあります。この承認はスマートコントラクトがあなたのトークンを操作するために必要な許可ですが、一度与えた承認がそのまま残り続けることには大きなリスクが潜んでいます。
不要になった承認を取り消す操作が「リボーク（Revoke）」です。ウォレットの安全性を保つために不可欠なセキュリティ対策ですが、意外と知られていない操作でもあります。本記事では、リボークの仕組みから具体的な手順、注意点までを詳しく解説します。
トークン承認（Approve）の仕組み
リボークを理解するには、まずトークン承認（Approve）の仕組みを知る必要があります。ERC-20トークンなどのスマートコントラクトには「approve」という関数が実装されており、これを呼び出すことで特定のコントラクトに対して「自分のトークンを指定した量まで使ってよい」という許可を与えます。
たとえば、Uniswapでトークンをスワップする際、最初に「Approve」のトランザクションが求められます。これはUniswapのルーターコントラクトに対して、あなたのトークンを移動する権限を許可するものです。一般的には「無制限（Unlimited）」の承認が求められることが多く、一度承認すれば次回以降はガス代を節約できるという利便性があります。
しかし、この「無制限の承認」こそが潜在的なリスクを生み出します。承認先のコントラクトに脆弱性があった場合や、悪意のあるコントラクトに承認してしまった場合、あなたのウォレットからトークンが不正に引き出される可能性があるのです。
リボーク（Revoke）が必要な理由
リボークが必要な理由は、主に3つのリスクシナリオがあるためです。第一に「コントラクトの脆弱性」です。過去に多くの実績あるDeFiプロトコルがハッキング被害に遭っています。コントラクトに脆弱性が発見されると、攻撃者はその脆弱性を悪用して、承認済みのユーザーのトークンを盗み出すことがあります。
第二に「フィッシングによる不正承認」です。詐欺サイトにウォレットを接続してしまい、知らないうちに悪意のあるコントラクトへの承認を行ってしまうケースです。承認した瞬間にトークンが盗まれることもあれば、時間を置いてから不正に引き出されることもあります。
第三に「使わなくなったプロトコルの放置」です。もう利用しないdAppsへの承認をそのまま放置していると、将来的にそのプロジェクトがハッキングされた際に被害を受けるリスクがあります。使わなくなったサービスへの承認は、速やかにリボークしておくことが推奨されます。
リボークの具体的な手順
リボークを行うための便利なツールがいくつか存在します。代表的なものが「Revoke.cash」です。このサイトにウォレットを接続すると、現在有効なすべてのトークン承認が一覧表示されます。各承認の横にある「Revoke」ボタンをクリックし、トランザクションに署名するだけで承認を取り消せます。
具体的な手順は以下のとおりです。まず、Revoke.cashにアクセスし、MetaMaskなどのウォレットを接続します。次に、表示された承認一覧を確認します。不要な承認を選んで「Revoke」をクリックし、ウォレットでトランザクションを承認します。リボークにはガス代がかかる点に注意してください。
Etherscanの「Token Approval Checker」も便利なツールです。Etherscanのサイトから自分のアドレスを検索し、「Token Approvals」タブから承認状況を確認・リボークできます。また、一部のウォレットアプリ（Rabbyなど）には承認管理機能が内蔵されており、より手軽にリボーク操作を行えます。
リボークの注意点とベストプラクティス
リボークを行う際にはいくつかの注意点があります。まず、リボークはオンチェーンのトランザクションであるため、ガス代が発生します。Ethereumメインネットではガス代が高額になることがあるため、ガス代が安い時間帯を狙って実行するか、L2チェーン上の承認を優先的に処理するのがコスト効率的です。
次に、リボーク後にそのdAppsを再度利用する場合は、改めて承認のトランザクションが必要になります。頻繁に使うサービスについては、無制限承認ではなく「必要な金額だけを承認する」設定にすることで、リスクを限定しつつ利便性を保てます。MetaMaskでは承認時に「カスタム承認額」を設定できる機能があります。
ベストプラクティスとしては、月に1回程度は承認状況を確認する習慣をつけることをおすすめします。新しいdAppsを利用した後は特に確認を忘れないようにしましょう。また、大きな金額を保管するウォレットと日常的にdAppsを利用するウォレットを分けることで、万が一の際の被害を最小限に抑えることができます。
まとめ
リボーク（Revoke）は、過去に与えたトークン承認を取り消すセキュリティ対策です。DeFiやNFTを利用する際に求められるトークン承認は便利な仕組みですが、不要な承認を放置すると、コントラクトの脆弱性やフィッシング被害によって資産を失うリスクがあります。
Revoke.cashやEtherscanのToken Approval Checkerを使えば、現在の承認状況を簡単に確認し、不要な承認をリボークできます。定期的な承認チェックとリボークを習慣化し、自分の資産は自分で守るというWeb3の基本姿勢を実践していきましょう。