トラストウォレットの詐欺:偽サポート、承認ドレイナー、2025年12月の拡張機能事件を同社のページで読む
トラストウォレットの詐欺はどんな手口ですか?
トラストウォレットの詐欺は、ウォレットを破るのではなく、利用者にリカバリーフレーズを渡させるか取引に署名させる手口です。2026年10月14日に読んだ同社のページは偽アプリ、偽サポート、偽のエアドロップ、なりすましトークン、承認ドレイナーの5つを挙げています。
書類の最終確認日 確認者 CryptoGuardz 登録簿編集部
トラストウォレット(Trust Wallet)の詐欺は、ほとんどの場合、ウォレットを破るのではなく、利用者にリカバリーフレーズを渡させるか、取引に署名させることで成り立っています。2026年10月14日に読んだ同社のセキュリティのページは、偽アプリ、偽サポート、偽のエアドロップ、なりすましトークン、承認ドレイナーの5つの型を挙げています。例外は2025年12月のv2.68のブラウザ拡張機能で、2,520のアドレスから資産が抜かれました。
同社の2026年8月の安全性のページは、最初の点を一文で書いています。Phishing sites, fake "support" agents, and crypto drainers work by convincing you to hand over the phrase or sign a bad transaction.
フィッシングサイト、偽の「サポート」担当、ドレイナーは、フレーズを渡させるか、悪い取引に署名させることで成り立つ、という意味です。ウォレットの記録、保管の条項、事故の記録はトラストウォレットの安全性のページ (英語)にあります。
トラストウォレット自身は、どんな詐欺を挙げているか?
| 詐欺 | 手口(同社による) | 同社が示す確認の仕方 |
|---|---|---|
| 偽アプリ | 本物そっくりのアプリやサイトがaim to steal your secret phrase(シークレットフレーズを盗もうとする) | アプリストアの開発元が「Trust Wallet」であること |
| 偽サポート | メール、SNS、チャットでclaiming to be from Trust Wallet support(サポートを名乗る) | 同社はwill never ask for your seed phrase(シードフレーズを決して聞かない) |
| 偽のエアドロップ | 偽サイトが接続や承認を求める。These transactions can instantly drain your wallet(一瞬でウォレットを空にしうる) | 頼んでいないトークンやNFTはis usually a scam(たいてい詐欺) |
| なりすましトークン | 同じ名前で、コントラクトアドレスが違う | コントラクトアドレスを確かめる |
| 承認ドレイナー | 署名した承認でコントラクトがトークンを動かせる | 承認を取り消す。金額を限る |
トラストウォレットの偽サポート詐欺はどう進むのか?
本物のサポートの問い合わせより先に、メッセージが届きます。2026年8月19日に更新された同社の偽アプリの解説は、詐欺師がcontact you through email, social media, or chat applications, claiming to be from Trust Wallet support.
、つまりメール、SNS、チャットアプリでトラストウォレットのサポートを名乗って連絡してくると書いています。詐欺の解説は場所も挙げ、DiscordやTelegramでpose as customer support representatives or community members
(サポート担当やコミュニティのメンバーを装い)、direct you to malicious websites under the guise of helping you resolve an issue.
(問題の解決を手伝うふりをして悪意あるサイトへ誘導する)としています。
行き着く先はフレーズです。同社自身の一文です。
Remember: Trust Wallet will never ask for your seed phrase through an app or email. If you encounter such a request, it's a scam.
トラストウォレットがアプリやメールでシードフレーズを聞くことは決してなく、そう求められたら詐欺だ、という意味です。登録簿に記録した規約もこれを裏づけ、同社はnot gain or retain your wallet password, encrypted private key, unencrypted private key, or secret phrase
、ウォレットのパスワード、暗号化された秘密鍵も暗号化されていない秘密鍵も、シークレットフレーズも取得、保持しないとしています。本物のサポート担当には復元するものが何もなく、復元を持ちかける人が詐欺です。フレーズの仕組みはシードフレーズとはで扱っています。
承認ドレイナーは、どうやってトラストウォレットを空にするのか?
利用者が署名した許可を使います。同社のドレイナーの解説はApprovals can be limited to a specific amount of tokens or set as "unlimited"
、承認は特定の量に限ることも「無制限」にすることもできるとし、無制限の承認はremain active indefinitely unless revoked, even if you stop using the dApp.
、dAppを使わなくなっても取り消さない限り有効なままだと書いています。接続を切っても効きません。Even after disconnecting from a dApp, token approvals remain active on the blockchain.
、dAppとの接続を切ったあとも、ブロックチェーン上の承認は有効なままです。
解説によれば、ドレイナーはthrough phishing attacks or fraudulent dApps
(フィッシングや不正なdAppを通じて)やってきて、investment opportunities, NFT minting sites, or token airdrops
(投資の話、NFTのミントサイト、トークンのエアドロップ)の姿をとり、off-chain signatures (like EIP-2612)
、EIP-2612のようなオフチェーンの署名を使って、オンチェーンの承認取引を一切必要としないこともあります。対策として挙げられているのは、必要な量だけ承認すること、使わない承認をRevoke.cashやWalletConnect経由のEtherscanのToken Approval Checkerなどで取り消すこと、Security Scannerの警告を読むことです。同社自身はこのスキャナーをa prompt to look closer, not a guarantee.
、よく見るための合図であって保証ではないと説明しています。
2025年12月、トラストウォレットの拡張機能で何が起きたのか?
詐欺のメッセージではなく、悪意あるビルドです。2025年12月30日に公開され、2026年7月17日に更新された同社の事故の報告です。
On December 24, 2025, an unauthorized and malicious version of the Trust Wallet Browser Extension (version 2.68) was published to the Chrome Web Store outside of our standard release process (without mandatory review).
2025年12月24日、許可されていない悪意あるブラウザ拡張機能のバージョン2.68が、通常のリリース手続きを経ずに(必須の審査なしに)Chromeウェブストアに公開された、という意味です。同社はこれをhigh confidence
(高い確度)で、2025年11月のnpmのサプライチェーン事件Sha1-Huludに結びつけています。この事件で開発者のGitHubの秘密情報が漏れ、その中にthe Chrome Web Store (CWS) API key
、ChromeウェブストアのAPIキーが含まれていました。影響を受けたのは2025年12月24日から26日に、v2.68を開いてログインした利用者です。スマートフォンのアプリの利用者は影響を受けていません。同社はidentified 2,520 wallet addresses that were affected by this incident and drained by the attackers, with approximately $8.5 million in assets impacted
、つまり2,520のアドレスが影響を受けて攻撃者に資産を抜かれ、影響額は約850万ドルとしています。これは17の攻撃者アドレスにつながり、同社によれば、それらはこの事件と関係のないウォレットからも資産を抜いていました。修正はロールバックで、verified clean version 2.67, released as 2.69.
、問題がないと確認した2.67を2.69として出し直しました。同社はdecided to voluntarily reimburse the affected users.
、影響を受けた利用者に自主的に補償すると決めています。
拡張機能の事故はこれが初めてではありません。登録簿に記録したCVE-2023-31290は、シードの生成に32ビットのエントロピーしか使っていなかったバージョンを扱っており、as exploited in the wild in December 2022 and March 2023.
、2022年12月と2023年3月に実際に悪用されたとしています。
v2.68の補償を狙ったのは誰か?
被害者ではない請求者です。同社の報告は、確認済みの2,520アドレスに対してreceived over 5,000 claims, indicating a significant number of duplicate or false submissions likely attempting to take victims’ reimbursements
、5,000件を超える請求が届き、被害者の補償を奪おうとする重複や虚偽の申請がかなりの数あるとみられると書いています。本当の被害者への指示は、be-support.trustwallet.comの公式フォームからだけ申請すること、Please be cautious of impersonators
(なりすましに注意すること)、そしてTrust Wallet will never ask for your private keys, seed phrases, or passwords.
、秘密鍵、シードフレーズ、パスワードを求めることは決してないということです。
大きな流出が公になるたびに、偽の請求窓口と偽の「回収業者」が現れます。FTCは仮想通貨の支払いをtypically are not reversible
、通常は取り消せないとしています。有料の回収の話と公式の相談の道筋は詐欺被害のページ (英語)にあります。日本の相談窓口は、この記事では確認しておらず未確認です。
よくある質問
トラストウォレットのサポートチャットは詐欺ですか?
先に連絡してくる担当者や、リカバリーフレーズを聞いてくる担当者は、同社自身の定義で詐欺です。同社はwill never ask for your seed phrase through an app or email.
と書いています。トラストウォレットの安全性のページ (英語)を参照してください。
トラストウォレットはハッキングされたのですか?
v2.68のブラウザ拡張機能がそうでした。2025年12月24日に公開された悪意あるビルドで2,520アドレスから資産が抜かれ、影響額は17の攻撃者アドレスにわたって約850万ドルです。スマートフォンの利用者は影響を受けておらず、同社は被害者に補償するとしています。
ウォレットのドレイナーはどう防ぎますか?
使わないトークンの承認を取り消し、承認は必要な量に限り、頼んでいないリンクから開いたサイトでは署名しないことです。同社の解説は、承認がeven if you stop using the dApp.
、dAppを使わなくなっても有効なままだとしています。自己管理ウォレットの安全チェックリスト (英語)も参照してください。
トラストウォレットは詐欺の取引を取り消せますか?
できません。同社は鍵を持っておらず、FTCは仮想通貨の支払いがtypically are not reversible
としています。詐欺被害のページ (英語)を参照してください。
出典
- Trust Wallet blog, Browser Extension v2.68 Incident, An Update to Our Community, published 30 December 2025, updated 17 July 2026, retrieved 14 October 2026
- Trust Wallet support, Security Notice, Browser Extension Version 2.68 Vulnerability, last updated 29 December 2025, retrieved 14 October 2026
- Trust Wallet blog, How to Avoid Fake Trust Wallet Apps, updated 19 August 2026, retrieved 14 October 2026
- Trust Wallet blog, How to Spot and Avoid Crypto Wallet Scams in 2025, updated 19 August 2026, retrieved 14 October 2026
- Trust Wallet blog, Token Approvals and Wallet Drainers, updated 9 June 2025, retrieved 14 October 2026
- Trust Wallet blog, Is Trust Wallet Safe, 13 August 2026, retrieved 14 October 2026
- GitHub Advisory Database, CVE-2023-31290, as recorded on the wallet register 2026-09-22
- Trust Wallet terms of service, as recorded on the wallet register 2026-09-22
- FTC, What To Know About Cryptocurrency and Scams, retrieved 14 October 2026
- CryptoGuardz Trust Wallet safety page
- CryptoGuardz crypto scam recovery page
この記事について
上に挙げた出典をもとに、CryptoGuardzの登録簿チームがまとめました。調査と下書きにはAIの支援を使い、公開前に名前を明記した編集者が確認しています。この記事はギャンブルを勧めるものではありません。数字や読み方に誤りがあればお知らせください (英語)。訂正は公開の場で記録します。