暗号資産サイトのSSLとドメインが本物か確認する方法

HTTPSが示すのは、そのドメインとの通信が暗号化されていることだけです。ドメインが本物の暗号資産サービスの所有物である証拠にはなりません。登録可能な正確なドメイン名を確認し、信頼できる情報源からサイトへ移動してください。証明書の警告を調べ、確認済みサイトをブックマークしてからウォレットを接続します。

仕組みを構成する要素を理解する#

偽サイトは、文字の入れ替え、余分な単語、誤解を招くサブドメイン、見分けにくい国際化文字を使います。現在のフィッシングサイトも有効なTLS証明書を取得できるため、鍵マークは最低条件であって、運営者の身元を示す印ではありません。

判断の枠組み#

少なくとも二つの独立した確認先を使います。以前保存した公式リンクに加えて、検証済みのコードリポジトリ、アプリストア掲載情報、エコシステムの公式ディレクトリなどを照合してください。SNS投稿だけを複数見ても、独立した証拠にはなりません。

順序を守って確認する#

1. ドメインを右から左へ読み、登録可能なドメイン名を特定します。 続行する前に、正確なドメインを独立した公式情報と比較してください。

1. 綴りをプロジェクトの公式資料と照合します。 後から検証できるよう、確認した日時、URL、編集していない記録を残してください。

1. ブラウザが警告を表示した場合は、証明書の詳細を開きます。 発行先、有効期限、ホスト名の不一致などを確認し、曖昧なまま次へ進まないでください。

1. スポンサー広告の検索結果と短縮URLを避けます。 ウォレット接続や送金の前に公式リンクへ移動し、操作後の状態も確認してください。

1. 独立した確認が終わった後にブックマークへ保存します。 保存時のURLを確認し、今後はそのブックマークから開いてください。

よくある落とし穴#

• project.example.com.attacker.tldを公式サブドメインと誤認する。 登録可能なドメインはattacker.tldであり、その左側は攻撃者が自由に作れます。
• HTTPSがあるという理由だけでドメインを信用する。 証明書は通信を暗号化しますが、ブランドの正当性までは保証しません。
• 最近登録された、よく似たドメインを無視する。 新規登録だけで詐欺とは断定できませんが、公式情報との一致をより慎重に確認する必要があります。
• ウォレットが壊れていると言われ、シードフレーズを入力する。 根幹となる秘密情報が漏れ、後からパスワードを変えても攻撃者のアクセスは排除できません。

安全な確認とは、単にサイトを開けたことや操作を完了できたことではありません。独立して検証でき、同じ方法で再確認でき、周辺サービスが失敗しても被害を限定できる状態を指します。

確認結果を検証する#

画面に成功メッセージが表示されたかどうかだけで判断してはいけません。ページを閉じた後でも確認できる証拠を使ってください。

公式の問い合わせ番号や日付入りスクリーンショットがサイト確認の記録に役立つ場合は保存してください。ただし、シードフレーズ、秘密鍵、認証コードは含めないでください。

よくある質問#

フィッシングサイトでも有効な証明書を取得できますか？

はい。認証局が確認するのはドメインの管理権であり、背後にいる事業者の正当性ではありません。

ブラウザには今も鍵マークが表示されますか？

ブラウザによって表示方法は変わりますが、サイト情報からHTTPSの状態と警告を確認できます。アイコンだけを判断材料にしないでください。

公式ドメインから別のサイトへ転送された場合は？

新しい転送先を信用する前に、公式資料にもその変更が記載されているか確認してください。

関連ガイド#

• 暗号資産セキュリティセンター
• 初心者向け暗号資産セキュリティチェックリスト

参考資料#

• Ethereum.org: Security and Scam Prevention
• MetaMask: Wallet Security
• CISA: Avoiding Social Engineering and Phishing Attacks

リスクに関する注意： 暗号資産の操作は取り消せない場合があります。シードフレーズ、秘密鍵、パスワード、認証コードは決して共有せず、ドメインとウォレットの確認画面をそれぞれ独立して検証してください。