仮想通貨ラグプルを未然に防ぐ方法：8つのステップからなる取引前チェック

ソーシャルメディアのフィードで新しいトークンを見つけたとします。チャートは急上昇し、コミュニティはプレセールが間​​もなく終了すると叫び、ウェブサイトは早期購入者が莫大な利益を得られると謳っています。思わず数分で決断したくなるでしょう。しかし、まさにこの時こそ、ラグプル（資金流出）を見抜くのが最も難しいのです。プロジェクトが撤退する前は、活発で流動性が高く、正当なものに見えるからです。

ラグプルとは一般的に、内部関係者やプロモーターが、流動性の枯渇、集中保有トークンの売却、特権的なコントラクト制御の悪用、あるいは資産の事実上の売却不能化などによって、プロジェクトから突然価値を引き出す暗号資産スキームを指します。失敗したトークンや設計の悪いトークンすべてがラグプルであるとは限らず、単一の警告サインだけで詐欺を証明することはできません。このガイドの目的は、資金やウォレットの権限を危険にさらす前に、複数の独立したチェックを組み合わせることです。

以下のプロセスでは、最も迅速なチェックから、より詳細なオンチェーンレビューへと進みます。プロジェクトが初期チェックで重大な不合格となった場合、撤退を正当化するためだけに、さらに調査を続ける必要はありません。

ステップ1：トークンを検証する前に、誇大広告を取り除く

まずはセールストークから始めましょう。米国証券取引委員会（SEC）の投資家教育担当部署は、高利回りや確実なリターン、低リスクやリスクなし、勧誘なしのオファー、即時行動を促す圧力などは、典型的な詐欺の兆候であると繰り返し警告しています。連邦取引委員会（FTC）も同様に、仮想通貨の利益を保証できる人はいないと警告しています。

コードを見る前に、次の3つの簡単な質問を自問自答してください。

• その提案は、確実な、固定された、あるいはほぼ確実な利益を約束するものですか？
• カウントダウンや「ホワイトリスト締め切り」、「最終割り当て」など、人為的な緊急性を感じさせるような表示はありますか？
• 証拠のほとんどは、検証可能な事実ではなく、スクリーンショット、インフルエンサー、証言、フォロワー数といった社会的証明なのでしょうか？

正当なプロジェクトであっても積極的なマーケティングを行うことは可能ですが、焦りからデューデリジェンスを怠ってはなりません。最新の消費者向け警告については、SEC（米国証券取引委員会）が2024年に発表した暗号資産詐欺に関する投資家向け警告と、FTC（連邦取引委員会）が発表した暗号資産詐欺に関するガイダンスを参照してください。

ステップ2：プロジェクトがマーケティング活動以外にも存在することを確認する

次に、関係者、製品、コードが独立して検証可能かどうかを確認します。トークンの機能を説明する技術的な説明、公式チャネル全体で公開されている一貫したコントラクトアドレス、開発履歴、プロジェクト自身のサイト以外でも確認できるチーム情報などを探してください。

匿名のチームが必ずしも不正であるとは限りません。正当な暗号通貨プロジェクトの中にも、匿名の貢献者を利用しているものがあります。しかし、匿名であることはリスクプロファイルを変化させます。運営者が不明で、コードが非公開で、ドキュメントが曖昧で、プロモーションチャネル以外にプロジェクトの有意義な履歴がない場合、誰がシステムを制御しているのか、あるいは何か問題が発生した場合に何が起こるのかを評価する手段が少なくなります。

プロジェクト名、トークンシンボル、コントラクトアドレス、主要チーム名をそれぞれ個別に検索してください。FTCは特に、企業名または個人名と仮想通貨名に加えて、「詐欺」や「苦情」などのキーワードで検索することを推奨しています。プロモーターから提供されたリンクだけを鵜呑みにしないでください。

ステップ3：保有者の集中度と接続済みウォレットを確認する

信頼できるブロックチェーンエクスプローラーを開いて、トークンの最大保有者を調べてください。供給量が集中しているからといって、ラグプル（資金流出）の証拠にはなりません。取引所ウォレット、ベスティングコントラクト、ブリッジ、トレジャリーコントラクト、ステーキングボールト、流動性プールなどは、正当な理由で多額の残高を保有することができます。問題は、それらのアドレスを誰が管理しているのか、そして彼らが何ができるのかということです。

次のようなパターンを探してください。

• 外部所有のウォレットが、異常に大きな供給量を保有している。
• 複数のトップウォレットが同じデプロイヤーによって資金提供されているか、または協調的に連携している。
• 信頼できる権利確定メカニズムのない、大規模なロック解除済みチーム割り当て。
• マーケティング活動開始前に、デプロイヤーにリンクされたアドレスから新しいウォレットへの迅速な送金。

米国証券取引委員会（SEC）は、暗号資産の発行は所有権と支配権の構造が極めて集中し、不透明になる可能性があると警告している。流動性が低い場合や、契約管理が特権的な場合、集中はさらに危険性を増す。

ステップ4：トークノミクスページだけでなく、契約の管理者権限も読みましょう。

マーケティング資料には「供給量固定」や「コミュニティ所有」と記載されているかもしれませんが、より重要な真実の源はスマートコントラクトです。ソースコードが検証済みであれば、その機能とアクセス制御の役割を検証してください。コントラクトがアップグレード可能な場合は、プロキシ管理者とアップグレード権限も検証してください。

オーナーまたは管理者が以下のことができるかどうか、特に注意してください。

• 追加のトークンを発行する。
• 変更手数料または税金
• アドレスをブラックリストまたはホワイトリストに登録する。
• 送金または取引を一時停止する。
• 取引制限を変更する。
• 実装ロジックをアップグレードまたは置き換える。
• 財務資金または儀礼資金を移動する。

これらの機能は正当なものである場合もある。例えば、緊急一時停止機能は、重大なバグ発生時に役立つ可能性がある。問題は、管理者機能が存在すること自体ではなく、単一の主体がタイムロック、マルチシグネチャ制御、透明性のあるガバナンス、その他の制約なしに強力な機能を使用できるかどうかである。

OpenZeppelinの現在のアクセス制御に関するドキュメントでは、発行、凍結、アップグレード、その他の特権操作を管理する役割がなぜ重要なのかが説明されています。イーサリアムのスマートコントラクトのセキュリティに関するドキュメントも同様に、機密性の高い機能に対する適切なアクセス制御の重要性を強調しています。

ステップ5：流動性の深さと、誰がそれを引き出すことができるかを検査する

トークンは名目上の時価総額が大きい場合でも、買い手と売り手にとって流動性が非常に低い場合があります。実際のプールを確認しましょう。ベースとなる資産はどれくらい存在するのか、市場の厚みはどれくらいなのか、そして誰が流動性ポジションを管理しているのかを確認してください。

デプロイヤーまたは密接に関連するウォレットが引き出し可能な流動性の大部分を管理している場合、プロジェクトはその流動性を突然引き出す可能性があります。ロックまたはベスティングメカニズムによってこの特定のリスクを軽減できますが、「流動性ロック」は万能の安全証明書ではありません。ロック契約、期間、受益者、ロック解除日、および他のプールが存在するかどうかを確認する必要があります。

また、流動性リスクとトークン所有リスクは切り離して考えるべきです。たとえ流動性が永久的にロックされていても、内部関係者がロックされていない大量のトークンをプールに放出するのを防ぐことはできません。

ステップ6：普通株主が実際に売却できることを確認する

悪意のあるトークンの中には、購入は容易である一方、売却はブロックされていたり、高額な手数料が課されていたり、特定のアドレスでのみ許可されていたりするように設計されています。多額の資金をリスクにさらす前に、送金ロジックを精査し、可能であれば信頼できる取引シミュレーションツールやエクスプローラーツールを使用してください。

探す：

• 極端に変更可能な手数料を販売する。
• 売買には異なるルールが適用される。
• ブラックリストまたは取引許可は所有者によって管理されます。
• 任意に変更可能な最大取引件数または最大ウォレット容量に関するルール。
• ルーター、ペア、または特定のアドレスを異なる方法で処理するロジック。

購入が成功したからといって、売却も成功するとは限りません。市場の仕組みをテストする場合は、少額にとどめ、たとえ少額の売却が成功したとしても、将来の売却が継続して可能になるわけではないことを理解しておいてください。管理者が後からパラメータを変更する可能性があります。

ステップ7：ウォレットの承認を個別のセキュリティ決定として扱う

ラグプルチェックでは、ウェブサイトがウォレットに署名を求める内容も確認する必要があります。悪意のある、あるいは侵害されたdAppは、ウォレットに既に存在するトークンをコントラクトが消費できるように、無制限のトークン承認を要求する可能性があります。このリスクは、ウェブサイトを離れた後も残る可能性があります。

Ethereum.orgは、悪意のあるコントラクトが無制限の承認権限を悪用する可能性があると警告し、必要なものだけを承認し、不要な権限は取り消すことを推奨しています。新しいプロジェクトが、実行中のアクションとは無関係な広範な承認を求めてきた場合は、立ち止まって、どのトークン、送金先アドレス、金額を承認しようとしているのかを正確に理解してください。

トークンアクセス権の確認と取り消しについては、イーサリアムの公式ガイダンスを参照してください。すでに疑わしいプロジェクトとやり取りをしてしまった場合は、Ethereum.orgの詐欺対策ガイダンスで、残りの資産を保護し、疑わしい承認を取り消すことを推奨しています。

ステップ8：証拠を総合して、停止／進行の判断を下す

現時点では、プロジェクトを単一の自動化された「ラグスコア」だけで評価しないでください。プロジェクトは1つのチェックに合格しても、別のチェックに不合格になる可能性があります。監査済みのコードは、オペレーターの誠実さを保証するものではありません。流動性をロックしても、インサイダーによるトークンの売り抜けを防ぐことはできません。個人情報が暴露された創業者であっても、危険な契約権限が削除されるわけではありません。テスト販売が成功したからといって、販売ルールが後で変更されないことを証明するものではありません。

実用的な判断基準としては、発見したものを3つのカテゴリーに分類することが挙げられる。

10分でできるラグ引き抜き検査チェックリスト

少額の投機的なポジションを検討する前に、簡潔なバージョンが必要な場合は、以下のリストを順番に実行してください。

1. 緊急性や約束は無視して、プロジェクトが主張する内容を正確に書き留めてください。
2. 複数の信頼できる情報源から、公式の契約先住所を確認してください。
3. チーム、ドキュメント、開発履歴が第三者によって検証可能かどうかを確認してください。
4. 最大のトークン保有者を調査し、契約、取引所、資金保管ウォレット、デプロイヤーにリンクされたアドレスを特定する。
5. 検証済みの契約コードを読み取り、所有者、管理者、発行者、一時停止者、手数料、ブラックリスト、およびアップグレード権限を特定します。
6. 実際の流動性プールの深さと、誰が流動性ポジションを引き出すことができるのかを調査する。
7. 売買制限や変動する手数料を確認し、可能な場合は取引シミュレーションを利用してください。
8. ウォレットの署名とトークンの承認は、確認する前に必ずすべて読んでください。
9. 苦情、セキュリティレポート、矛盾する情報などを独自に検索する。
10. 複数の重要な事実が検証できない場合は、憶測でその空白を埋めるのではなく、その件から手を引くべきだ。

自分の結論を自己検証する方法

購入前に、プロジェクトのウェブサイトとソーシャルメディアアカウントを閉じてください。そして、ブロックチェーンエクスプローラー、検証済みのソースコード、流動性ポジション、関連する公式レジストリや規制当局のツール、プロモーション投稿以外で公開されているドキュメントなど、独立したデータのみを使用して、結論を再現してみてください。

自問自答してみましょう：

• 契約の発行、一時停止、ブラックリスト登録、手数料の変更、アップグレードは誰が行えるのか説明していただけますか？
• 最大のトークン保有者について説明していただけますか？
• 主要な流動性を誰が管理しているのか、またその管理権はいつ変更される可能性があるのか​​を説明していただけますか？
• 現在の契約規則の下では、一般の保有者は売却できますか？
• ソーシャルメディアのリンクを信用するのではなく、契約書の住所を確認しただろうか？
• 不必要な無制限の承認を与えないようにできただろうか？
• 価格表やインフルエンサーの投稿が非表示になったとしても、私はそのプロジェクトを検討するだろうか？

最初の6つの質問に証拠に基づいて答えられない場合、7つ目の質問に頼るにはリスクを十分に理解していないことになります。

不審なトークンと既にやり取りしてしまった場合の対処法

ウォレットが詐欺契約に関与した可能性があると思われる場合は、まず残りの資産の保護に注力してください。疑わしいトークンの承認を見直して取り消し、侵害の可能性があれば影響を受けていない資産を安全なウォレットに移動し、トランザクションハッシュ、アドレス、スクリーンショット、および通信内容を保存してください。盗まれた暗号資産を前払い料金で取り戻せると主張する見知らぬ人物には絶対に支払わないでください。規制当局は、こうした取り戻し詐欺は既に金銭を失った人々を標的にすることが多いと警告しています。

米国における証券詐欺の可能性は、Investor.govの被害者向けリソースからリンクされているSECのリソースを通じて報告できます。一方、消費者詐欺はFTCを通じて報告できます。詐欺師に送金された暗号資産の回収は困難な場合があるため、後で資金が戻ってくるという約束よりも、取引前の確認がはるかに重要になります。

結論

トークン価格を主要な情報源として扱うのをやめれば、ほとんどのラグプルは回避しやすくなります。マーケティングはプロモーターがあなたに信じさせたいことを伝え、保有者データは誰が供給量を所有しているかを示し、スマートコントラクトのコードは特権アカウントが変更できる内容を示、流動性データは出口資金がどのように調達されているかを示し、ウォレットの承認は問題が発生する前にあなたがどのようなアクセスを許可しているかを示します。

最善の防御策は、魔法のような指標を一つ見つけることではありません。システムの重要な部分が複数独立して検証できない場合は、投資を拒否することです。仮想通貨の世界では、「誰がこれを管理しているのか分からない」というのは中立的な事実ではなく、それ相応に価格に反映されるべきリスクなのです。