Revoke(リボーク)とは、暗号資産ウォレットで外部のサービスやスマートコントラクトに一度与えた権限を取り消す操作です。NFTや暗号資産の取引では、ウォレットを使うたびにさまざまな権限を与える場面があります。悪意のあるサイトに権限を与えてしまうと、ウォレットを切断しても資産を抜き取られ続けるおそれがあります。
本記事では、Revokeの基本的な意味から実際のやり方までを、初心者にも分かりやすく解説します。
Revoke(リボーク)とは
Revokeは英語で「取り消す」「無効にする」を意味します。Web3の文脈では、ウォレットが過去に与えた「トークンやNFTを操作する許可(承認)」を取り消す操作を指します。
例えばNFTマーケットプレイスに出品するときは、マーケットプレイスのスマートコントラクト(ブロックチェーン上で自動実行されるプログラム)に「このNFTを移動してよい」という許可を与えます。信頼できるサービスへの許可であれば問題ありません。一方で、詐欺サイトに同じ許可を与えると、ウォレット内のNFTや暗号資産を勝手に送金される危険が生じます。
MetaMaskなどのウォレットで行う操作は、大きく「接続」「署名」「承認(Approve)」の3つに分けられます。
| 操作 | 内容 | リスク |
|---|---|---|
| 接続(Connect) | サイトにウォレットアドレスを知らせる | 単体では資産は動かない |
| 署名(Sign) | メッセージに電子的なサインをする | ログイン用なら低い。ただしPermit署名などは承認と同じ効力を持つ |
| 承認(Approve) | コントラクトに資産を操作する権限を与えるトランザクション | 悪用されると資産を抜き取られる |
以前は「署名は安全」と説明されることが多くありました。しかし現在は、署名だけで承認と同じ権限を渡せる仕組みが普及しています。詳しくは後述の「署名(Permit/Permit2)にも注意が必要」で解説します。
Approve(承認・許可)には細心の注意を
Approveは、サイトやコントラクトにウォレット内の資産を操作することを許可する操作です。代表的な形式は次の2つです。
- approve：特定の暗号資産(ERC-20トークン)を、指定した数量まで動かせる権限を与える
- setApprovalForAll：特定のコレクションのNFTを、すべて動かせる権限を与える
OpenSeaなどの正規のマーケットプレイスでは、売買に必要な範囲で許可を求めます。詐欺サイトも見た目はほぼ同じ承認画面を表示するため、内容を確認せずに許可してしまう事例があとを絶ちません。数量が「無制限(Unlimited)」になっていないか、承認先のアドレスが正規のものかを、承認ボタンを押す前に確認しましょう。
署名(Permit/Permit2)にも注意が必要
Permit(パーミット)とは、トランザクションを送らずに署名だけでトークンの承認を与えられる仕組みです。ガス代(ブロックチェーンの手数料)がかからず便利な一方で、フィッシングにも悪用されています。
Permit2はUniswapチームが開発した仕組みです。最初にPermit2のコントラクトへ無制限の承認を与えておくと、以降は署名などで各サービスに個別の承認(サブ承認)を渡せます。Permit2を通じた承認には有効期限が設定される利点があります。しかし、複数のトークンをまとめて承認できる柔軟な仕組みのため、何を許可するのか分かりにくく、フィッシングサイトに悪用されるおそれがあると指摘されています。
Scam Snifferが2026年1月に公表したレポートによると、2025年のウォレットドレイナー(資産を抜き取る詐欺ツール)によるフィッシング被害は約8,385万ドルでした。2024年の約4億9,400万ドルからは83%減少しています。ただし、1件で100万ドルを超えた被害11件のうち3件はPermit/Permit2の署名によるもので、11件の被害額の約38%を占めました。2025年9月には、Permit署名による約650万ドルの被害も確認されています。
「トランザクションではないから安全」とは限りません。署名を求められたときも、内容を確認する習慣をつけましょう。Approve（承認・許可）には細心の注意を
接続／署名には大きなリスクはありません。しかし許可／承認を意味する「Approve」には細心の注意が必要です。
なぜならこれはサイト側があなたのウォレットの中身について何かしらの操作を行うことを「許可」する、という意味だからです。
多くの通常のサイト（例えばOpenseaなど）の場合、その「操作」は通常の操作に限られています。例えば、Openseaが「ある人があなたのNFTを◯ETHで買いたいと言っています。その◯ETHをあなたに送るので、その代わりにそのNFTをその人に送っても良いですか？」といった手続きです。
通常のサイトでこういったトランザクション（取引）を「Approve」することは基本的に問題がありません。しかし、中には詐欺サイトなどではスキャマーが「あなたのウォレットのNFTをすべてこちらが無料でもらっていきます。許可しますか？」といった手続きを求めてくる場合があります。
ほとんどが英語であったりプログラミング言語で書かれているので多くの方は「よくわからないから許可しておこう」と許可してしまい、NFTが盗まれてしまう、これが「不正なトランザクション（取引）をApproveさせる」という手法の詐欺です。
Approveの取り消しが「Revoke(リボーク)」
この不正なトランザクションをApproveしてしまった場合には、このトランザクションへの許可を取り消すこと、つまり、Revokeする必要があります。
先述したように、ウォレットの操作において、接続／署名をしているだけでは、悪意あるサイト、スキャマーはあなたのウォレットの中身に触れることは出来ません。
しかし「あなたのウォレットの中身を無料ですべて持っていってもいいですか？」というトランザクションを万が一、Approveしてしまうと、スキャマーは常にあなたのNFTに触ること、そしてそれを持ちさることが可能になってしまいます。
もしも、意図せぬ形でこのようなApproveをしてしまったら、Revokeが必要になります。
なぜRevoke(リボーク)が重要なのか
なぜRevokeが重要なのでしょうか？それは、一度許可したトランザクションはRevokeをしない限り残り続ける、からです。
悪意あるトランザクションに対する「許可」を取り消さない限り、仮にサイトへのウォレット接続を切っても、サイトを閉じても、パソコンの電源を落としても、悪意あるサイトはあなたのNFTを自由にする、場合によっては勝手に持っていく権利を持ち続けます。
図にするとこうなります。
あなたのNFTがすべて取られてしまい、ウォレットが空っぽになった後でもこの権限は残り続けます。
つまりその状態で、例えばあなたが新しいNFTを購入してこのウォレットに入れたとしたら、それもまたスキャマーは盗むことができしていまいます。つまり、権限が取り消されていない限り（Revokeしていない限り）、スキャマーは常にあなたのウォレットの中のNFTを盗み続けられる、ということになるのです。
Revoke(リボーク)のやり方・解除方法
Revokeをする方法は決して難しくありません。もっとも一般的なものは「Revoke.cash」というWebサービスを利用する方法です。
具体的にRevoke.cashでのRevokeを画面と共に解説します。
- Revoke.cashにアクセス
- ウォレットを接続
- 不審なコントラクトをRevoke
1.Revoke.cashにアクセス
まずは、Revoke.cashにアクセスをしてください。
URLは「https://revoke.cash/」です。必ずURLを確認するようにしてください。特にスキャムにあった直後、焦ってRevokeをしようとしているとGoogleでRevokeとだけ調べてアクセスする方がいます。
そういう場合にニセサイトがGoogle広告で出てきてしまい、そこにアクセスし更に被害が大きくなったという事例もあります。URLは必ず確認してください。
2.ウォレットを接続
続いて、ウォレットを接続します。
右上のConnect Walletボタンからウォレットを接続してください。そうするといま自分の保有しているNFTをどこに許可しているかが一覧で確認できます。
例えばこれは、CryptoNinjaPartnersを2022年5月24日にOpenseaへの操作を許可した、ということを意味しています。
※Openseaは一度、コントラクトが更新されているため、OpenSea(Old）とOpenSeaが混在しています。どちらもOpenSeaなので問題ない「許可」であると思って問題ありません。
3.不審なコントラクトをRevoke
最後に、不審なコントラクトをRevokeします。
すべてを見ていくと概ねはOpenSeaやLoosrareといった「マーケットプレイスの名前」である事が多いです。
ただしその中に、「よくわからないコントラクト」があることがあります。それはほとんどの場合、独自マーケットプレイスであったり、ステーキングサイトであることがいいのですが、不審なコントラクトであれば右側の「Revoke」ボタンを押して取り消しておくことが無難です。
Revokeボタンを押すとウォレットが起動し確認を求められます。
Revokeには少額ですがガス代が発生します。ガス代を支払いこれを確認することでRevokeが完了です。
この一連の作業がRevokeです。
仮にスキャムにあわなかったとしても、定期的にこのサイトで自身のApprove状況を確認し、不審なものがあればRevokeをしておくことがスキャム予防に繋がります。
Revoke.cashの新機能(一括Revoke・自動Revoke)
Revoke.cashには、2025年以降に次のような機能が追加されています。
| 機能 | 内容 | 費用 |
|---|---|---|
| 一括Revoke | EIP-7702を使い、複数の承認を1回のトランザクションで取り消す | 1回あたり1.5ドルの手数料(個別のRevokeは無料) |
| Delegationsタブ | EIP-7702やDelegate.xyzなどによる委任状況を表示 | 無料 |
| Historyタブ | 承認と取り消しの履歴を表示 | 無料 |
| 自動Revoke | 危険な承認を検知し、自動で取り消す(2026年7月16日発表) | 有料プラン「Ultimate」 |
Revoke.cashによると、2026年7月の発表時点で自動Revokeに対応するウォレットはMetaMaskのみです。対応ブロックチェーンは、Ethereum、Base、BNB Chain、Arbitrum、Optimism、Polygon、Gnosis、Linea、Monad、Unichainの10種類です。自動Revokeで与える権限は承認の取り消しにしか使えず、送金や新たな承認はできない設計とされています。ただし、Revoke.cash自身も「損失を防げる保証はない」と明記しています。
Revoke(リボーク)する際の注意点
Revokeは万能ではありません。状況によっては、Revokeだけでは資産を守れない場合があります。
秘密鍵・シードフレーズが漏れた場合はRevokeでは防げない
秘密鍵やシードフレーズ(ウォレットを復元するための12〜24個の単語)が漏れた場合、攻撃者はウォレットそのものを操作できます。この場合、Revokeでは被害を防げません。新しいウォレットを作成し、残っている資産をすぐに移しましょう。
乗っ取られたウォレットにガス代を送らない
秘密鍵が漏れたウォレットには、入金された暗号資産を即座に抜き取る「スイーパー」と呼ばれるプログラムが仕掛けられていることがあります。Revokeのガス代を送っても、すぐに抜き取られる可能性があります。乗っ取りが疑われる場合は、Revokeよりも資産の退避を優先し、必要に応じて専門家やサービスの運営元に相談してください。
マーケットプレイスの出品(リスティング)は別途キャンセルが必要
マーケットプレイスへの出品は、署名によって行われることが一般的です。承認をRevokeしても、出品の署名が残っている場合があります。出品を取りやめたいときは、マーケットプレイス上で出品のキャンセル操作も行いましょう。
Revoke(リボーク)の意味・やり方まとめ
Revokeとは、ウォレットが過去に与えた承認を取り消す操作です。承認はNFTや暗号資産の取引に欠かせない仕組みですが、不正な承認は資産を抜き取られるリスクにつながります。
承認はウォレットの接続を解除しても消えません。PermitやPermit2の署名、EIP-7702による委任でも同様の権限を渡せるため、署名を求められたときも内容を確認する必要があります。
Revoke.cashを使えば、誰でも承認状況の確認と取り消しができます。被害に遭ったときだけでなく、定期的に承認状況を確認し、不要な承認をRevokeすることが、資産を守る有効な対策の一つです。
NFT Mediaではメールで、最新情報やお得な情報をお届けしています。
ご登録いただくと、キャンペーンやNFTのWhiteListなどお得な情報、注目のプロジェクト情報等お役に立つ最新情報をメールでお知らせします。ぜひご登録ください。
- NFTのWhiteList(優先購入権)
- キャンペーン情報
- 読者限定Giveaway企画
- 最新NFTコレクション紹介
- NFTニュース速報
- NFTビジネス活用事例
