MetaMaskに突然、身に覚えのないトークンが送りつけられる現象は、ほぼ全てが詐欺かスパムだ。絶対にそのトークンを操作しようとせず、ウォレット内で「非表示」にするのが最も安全な対処法である。
なぜ知らないトークンが送られてくるのか
これは「ダスト攻撃」や「スパムトークン」と呼ばれる手口だ。攻撃者はブロックチェーンの公開情報を元に、無作為または意図的に選んだ大量のアドレスへ価値のないトークンをばらまく。
目的は主に二つある。一つは、トークンに仕込まれた偽のウェブサイトへ誘導し、ウォレットの秘密鍵やシードフレーズを入力させるフィッシング詐欺。もう一つは、取引履歴を分析して送り主の身元を特定しようとするプライバシー侵害だ。
特に、トークン名に「claim」「reward」「airdrop」といった魅力的な単語が含まれていたり、公式プロジェクトになりすました名前が付けられている場合は、フィッシングを目的とした悪質なトークンである可能性が極めて高い。
絶対にやってはいけないこと
見知らぬトークンを受け取った時、最も危険な行動は「承認を得ようとする」「送り返そうとする」「付属のサイトにアクセスする」の三つだ。
トークンを売却・交換しようとしない
スパムトークンは、Uniswap や PancakeSwap といった分散型取引所で一見すると価値がついているように表示されることがある。しかし、これは詐欺師が偽の流動性を作り出しているだけだ。実際に売却を試みると、「承認（Approve）」ボタンを押すよう促され、その瞬間にウォレット内の全資産を抜き取る不正なスマートコントラクトを承認させられてしまう。
トークンを送り返そうとしない
「送り返せば安全だろう」と考えるのは危険な思い込みだ。送り返すためのトランザクションを実行することで、攻撃者にあなたのアドレスが「アクティブである」という情報を与えてしまう。さらに、送り返す過程で偽のウェブサイトに誘導されるケースも多い。
トークン名やシンボルで検索したサイトにアクセスしない
トークン名で検索して表示される「公式サイト」を名乗るページは、大抵の場合フィッシングサイトだ。サイトに接続したウォレットから資産を盗まれたり、シードフレーズの入力を求められたりする。トークン名に「.com」や「claim-」などとURLが直接含まれている場合は、特に危険性が高い。
MetaMaskでスパムトークンを非表示にする手順
MetaMaskの標準機能を使えば、このような迷惑トークンを簡単に見えなくすることができる。トークンそのものを「削除」することはブロックチェーンの仕組み上不可能だが、表示させないことで誤操作のリスクをゼロにできる。
- MetaMaskを開き、スパムトークンが表示されている「資産」タブを選択する。
- 非表示にしたいトークンを長押し（モバイル）またはクリック（ブラウザ拡張）して詳細を開く。
- 画面下部または右上のメニューから「Hide Token（トークンを非表示）」を選択する。
- 確認画面が表示されたら「非表示」をタップする。
ブラウザ拡張版では、トークン一覧の下部にある「Import tokens（トークンをインポート）」ボタンの近くに「Custom token（カスタムトークン）」タブがある。そこで非表示にしたいトークンを選択し、三点リーダーから「Hide」を選ぶことも可能だ。
これでトークンは見えなくなる。もし誤って重要なトークンを非表示にしてしまった場合でも、カスタムトークンタブの「Hidden（非表示）」セクションから再表示できるので安心してほしい。
送られてきたトークンの正体を見分ける方法
「もしかしたら本当にエアドロップかもしれない」と気になる場合もあるだろう。確認する際は、必ず公式の情報源だけを使う。
コントラクトアドレスをブロックエクスプローラーで調べる
まず、そのトークンのコントラクトアドレスをコピーする。次に、Etherscan や BscScan、PolygonScan といった該当ネットワークの公式ブロックエクスプローラーでアドレスを検索する。
そこで「詐欺の疑いあり」といった警告が表示されたり、コメント欄で他のユーザーが詐欺報告をしていたら、まず間違いなく詐欺トークンだ。また、ホルダー数が極端に少なかったり、トークン名が有名プロジェクトをもじった名前になっている場合も疑わしい。
プロジェクトの公式SNSを確認する
本物のエアドロップであれば、プロジェクトの公式X（旧Twitter）アカウントやDiscord、公式ブログで必ず事前告知がある。DMで突然「当選しました」と連絡が来たり、何の前触れもなく送られてきたものは、基本的に無視して問題ない。
スパムトークンの送信を根本的に防ぐ方法はあるのか
結論から言うと、パブリックブロックチェーンの性質上、誰かがあなたのアドレスにトークンを送りつける行為を完全に防ぐことは不可能だ。アドレスは公開情報であり、誰でもトランザクションを送信できる。
しかし、以下の対策で被害に遭うリスクを大幅に減らせる。
- メインの資産を保管する「コールドウォレット（ハードウェアウォレット）」と、日常的に使う「ホットウォレット」を分ける。これにより、誤って詐欺サイトに接続しても失う資産を限定的にできる。
- 取引所でしか使わないアドレスを新たに作成し、エアドロップや未検証のスマートコントラクトとのやり取りはそのアドレスに限定する。
- ウォレットのシードフレーズや秘密鍵を、いかなるウェブサイトにも入力しない習慣を徹底する。
よくある質問
非表示にしたトークンは完全に消えたわけではないのか
その通りだ。非表示はMetaMaskの表示上の設定に過ぎず、ブロックチェーン上にはトークンが残っている。Etherscanなどでアドレスを検索すれば、依然としてそのトークンを保有していることが確認できる。しかし、表示しなければ誤操作の心配はなくなる。
ガス代を支払ってでも「送り返す」ボタンがあるが使っても大丈夫か
絶対に使ってはいけない。スパムトークンを受け取った際に表示される「送り返す」機能は、往々にして偽のウェブサイトへのリンクだったり、不正なスマートコントラクトへの承認を求めるものだ。ガス代を無駄にするだけでなく、より深刻な資産の盗難につながる。
見知らぬNFTが送られてきた場合も同じ対処でいいのか
同じ対処で問題ない。スパムNFTも同様に、非表示機能を使って見えなくするのが安全だ。NFTの場合は特に「無料ミント」や「特典受け取り」を謳う偽サイトへ誘導するケースが多いため、触らずに非表示にすることを推奨する。
間違えて怪しいサイトに接続してしまった場合の対処法は
まず、直ちにMetaMaskの「設定」→「接続済みサイト」から該当サイトを切断する。次に、MetaMaskの「承認済みトークン」を確認し、不安な承認があれば取り消しを行う（Revoke.cash などの信頼できるツールが役立つ）。心配な場合は、新しいウォレットを作成して資産を移すことも検討する。
この記事のポイント
- 見知らぬトークンは詐欺やスパムであり、触らずに非表示にするのが最善策
- 売却や送り返しを試みると、不正な承認をさせられ資産を盗まれる危険がある
- トークン名で検索したサイトには絶対にアクセスしない
- MetaMaskの「非表示」機能で表示上見えなくすれば実害はない
- 怪しいサイトに接続した場合はすぐに切断し、承認状況を確認する
「エミリーズ・クリプト・インサイダー」のリサーチ担当として、暗号資産の現場で日々生まれる疑問や悩みを丹念に追いかける。
Reddit や海外フォーラムに寄せられる声を読み解き、「初心者がつまずきやすいポイント」「経験者でも見落としがちな落とし穴
」を一つずつ記事として整理している。
専門的な話を誰もが理解できる言葉に置き換えることに全力を注ぐ。情報の正確さと読みやすさの両立を信条としている。