ホワイトリスト

暗号資産におけるホワイトリストとは？

暗号資産におけるホワイトリストとは、特定の操作を行うことが承認されたウォレットアドレス、ユーザー、スマートコントラクト、デバイス、またはアカウントのリストです。

より現代的で分かりやすい用語は許可リスト（allowlist）ですが、NFTミント、トークンローンチ、エアドロップ、DeFiアプリ、ウォレットのセキュリティ設定で長年使用されてきたため、多くの暗号資産ユーザーは現在もホワイトリストを検索しています。

簡単に言うと、ホワイトリストは誰が何かを行えるかを決定します。

暗号資産プロジェクトは、誰がNFTを早期にミントできるかを決めるためにホワイトリストを使用する場合があります。

トークンローンチでは、誰が販売に参加できるかを決めるためにホワイトリストを使用する場合があります。

スマートコントラクトでは、どのアドレスが保護された機能を呼び出せるかを決めるためにホワイトリストを使用する場合があります。

ウォレットでは、どの出金アドレスが承認されているかを決めるためにホワイトリストを使用する場合があります。

DeFiプロトコルでは、どの資産、ボルト、または運営者がシステムとやり取りできるかを管理するためにホワイトリストを使用する場合があります。

サイバーセキュリティにおける意味も似ています。

NISTは、whitelist glossary definitionにおいて、ホワイトリストを組織または情報システム内で使用が承認されていることが既知のエンティティのリストと定義しています。

暗号資産では、承認対象となるエンティティはブロックチェーンアドレスであることが多いです。

初心者向けに簡単に説明すると、ウォレットがリストにあれば参加を許可される場合があり、なければスマートコントラクトまたはプラットフォームが操作を拒否する可能性があります。

ホワイトリストと許可リストの違い

暗号資産において、ホワイトリストと許可リスト（allowlist）は通常同じ意味です。

許可リストはより明確で直接的であるため、使用が増えています。

英国のNational Cyber Security Centreは、terminology guidanceで、新しい用語の方が明確で曖昧さが少ないため、「whitelist」と「blacklist」ではなく「allow list」と「deny list」を使用すると述べています。

現在、多くの暗号資産チームはドキュメントでallowlistを使用する一方、コミュニティチャットではホワイトリストと呼ぶユーザーが多くいます。

SEOとユーザー理解の観点から、両方の用語は有用です。

「ホワイトリスト」に関するページでは、allowlistが現代的な用語であることを説明する必要があります。

機能は同じで、リストにあるアドレスまたはユーザーに権限を付与します。

対となる概念は、denylistまたはblocklistと呼ばれることが多いです。

許可リストは、誰が許可されるかを示します。

拒否リストは、誰がブロックされるかを示します。

スマートコントラクトでは、明示的に承認されない限りすべてがデフォルトで拒否されるため、許可リストの方が安全に考えやすい場合があります。

暗号資産ホワイトリストの仕組み

暗号資産ホワイトリストは、ウォレットアドレスまたはアカウントが承認済みリストと一致するかを確認することで機能します。

リストはスマートコントラクトに直接保存できます。

プロジェクトチームがオフチェーンで保存することもできます。

リストはMerkle rootとして表すこともできます。

リストは署名済みメッセージによって管理することもできます。

ロールベースのアクセス制御を通じて管理することもできます。

ユーザーがミント、請求、出金、投票、取引、その他の制限された操作を行おうとすると、システムはユーザーが承認されているかを確認します。

アドレスが承認されていれば、操作は続行される場合があります。

アドレスが承認されていなければ、操作は失敗するかブロックされます。

単純なスマートコントラクトでは、コントラクトがマッピングを保存し、承認済みアドレスをtrueまたはfalseとして記録する場合があります。

大規模なNFTミントでは、数千のアドレスをオンチェーンに直接保存すると高コストになる可能性があります。

そのため、多くのプロジェクトは、完全なリストをオンチェーンに保存せずにウォレットがリストに含まれることを証明できるMerkle treeを使用します。

これにより、ホワイトリストの検証をより低コストかつスケーラブルにできます。

暗号資産でホワイトリストが使用される理由

暗号資産プロジェクトはアクセスを管理するためにホワイトリストを使用します。

ブロックチェーンはオープンシステムであるため、アクセス制御は重要です。

通常、コントラクトが許可していれば、誰でもパブリックスマートコントラクトにトランザクションを送信できます。

ホワイトリストは権限レイヤーを追加します。

OpenZeppelinは、Access Control documentationで、スマートコントラクトのアクセス制御が、誰にトークンのミント、提案への投票、送金の凍結、その他の機密操作を許可するかを管理すると説明しています。

NFTプロジェクトでは、ホワイトリストにより初期サポーターへ報いることができます。

トークンローンチでは、ホワイトリストにより販売参加者を管理できます。

DeFiプロトコルでは、受け入れるコントラクトまたは資産を制限することで、ホワイトリストがリスク低減に役立つ場合があります。

ウォレットでは、出金アドレスのホワイトリストが未知のアドレスへの送金からユーザーを保護する可能性があります。

機関では、ホワイトリストにより承認済みカウンターパーティーのみを許可し、コンプライアンスを支援できます。

開発者にとって、ホワイトリストは管理機能の不正使用防止に役立つ場合があります。

いずれの場合も、ホワイトリストは権限フィルターです。

NFTミントにおけるホワイトリスト

NFTホワイトリストは、プロジェクトが初期ミントのアクセスを管理したいと考えたNFTブームの時期に普及しました。

ホワイトリストにより、選ばれたウォレットはパブリックセール前にミントできる場合があります。

より低いミント価格が提供される場合があります。

ミントの保証割当が確保される場合があります。

時間枠にミントアクセスを分散させることで、ガス代を巡る競争を減らす場合があります。

早期参加、プロジェクトへの貢献、抽選当選、特定タスクの完了を行ったコミュニティメンバーに報いる場合があります。

一般的なNFTホワイトリストのプロセスは、プロジェクトが適格なウォレットアドレスを収集することから始まります。

その後、プロジェクトはミントルールと請求期間を公開する場合があります。

ミント中、スマートコントラクトはウォレットが許可されているかを確認します。

ウォレットが承認済みで、すでに割当を使用していなければ、ミントできます。

ウォレットが承認されていなければ、トランザクションはリバートするか、ミントボタンが機能しません。

一部のNFTコントラクトは、ガス効率の高い許可リストミントにMerkle proofを使用します。

QuickNodeのNFTスマートコントラクトガイドでは、NFT smart contract allowlist discussionにおいて、Merkle treeを使うと許可リストの検証をリストサイズから独立させられ、アドレスがtree内にあるかを確認するにはMerkle proofが必要であると説明されています。

トークンローンチにおけるホワイトリスト

トークンローンチでは、販売参加を管理するためにホワイトリストを使用する場合があります。

プロジェクトは販売前にユーザー登録を求める場合があります。

ウォレット認証を求める場合があります。

地域、ユーザータイプ、適格性スコア、キャンペーンルールによって参加を制限する場合があります。

ボットが全割当を購入することを防ぐためにホワイトリストを使用する場合があります。

コンプライアンスルールを適用するためにホワイトリストを使用する場合もあります。

一部のローンチでは、ホワイトリストは参加する権利のみを与えます。

利益を保証するものではありません。

トークン価格の上昇を保証するものではありません。

ローンチ後の流動性を保証するものではありません。

プロジェクトの安全性を保証するものではありません。

ユーザーがホワイトリスト枠を価値ある資産として扱うことが多いため、この区別は重要です。

ホワイトリストはアクセスを改善する可能性がありますが、市場リスク、スマートコントラクトリスク、トークノミクスリスク、プロジェクト実行リスクをなくすことはできません。

ユーザーは参加前に、供給量、ベスティング、チームの信頼性、プロダクトの進捗、流動性、スマートコントラクト監査、法的リスクを評価する必要があります。

エアドロップにおけるホワイトリスト

エアドロップでは、誰がトークンを請求できるかを決定するためにホワイトリストを使用する場合があります。

プロジェクトはブロックチェーンのスナップショットを取得し、適格なウォレットアドレスのリストを作成する場合があります。

適格性は、ウォレット活動、トークン保有、ガバナンス参加、テストネット利用、NFT所有、プロトコル操作、コミュニティへの貢献によって決まる場合があります。

最終的な適格アドレスのリストが、エアドロップのホワイトリストまたは許可リストになります。

ユーザーが請求ページにアクセスすると、システムはウォレットが適格かを確認します。

ウォレットがリストにあれば、ユーザーはトークンを請求できる場合があります。

リストになければ、請求は失敗します。

Investopediaの暗号資産エアドロップガイドでは、cryptocurrency airdrop guideにおいて、一部のエアドロップは特定の基準に基づいてユーザーを選び、スナップショットまたはウォレット保有を使用する場合があると説明されています。

エアドロップのホワイトリストは有用ですが、詐欺師による悪用も非常に多いです。

偽のエアドロップページは、ウォレットがホワイトリストに登録されているように見せかけ、悪意ある承認への署名をユーザーに促すことがよくあります。

本物のエアドロップがシードフレーズや秘密鍵を求めることはありません。

スマートコントラクトにおけるホワイトリスト

スマートコントラクトはアクセス制御のためにホワイトリストを使用します。

コントラクトは承認済みアドレスにのみトークンのミントを許可する場合があります。

コントラクトは承認済み運営者にのみ管理機能の呼び出しを許可する場合があります。

DeFiボルトは承認済み資産のみを許可する場合があります。

ブリッジは承認済みリレイヤーのみを許可する場合があります。

レンディングプロトコルは承認済み担保タイプのみを許可する場合があります。

許可型システムのトークンコントラクトは、承認済み送金エージェントのみを許可する場合があります。

Ethereumのスマートコントラクトセキュリティ文書では、スマートコントラクトは大きな価値を管理でき、攻撃者に機会を与える可能性があると、smart contract security guideで警告されています。

このため、アクセス制御は慎重に設計する必要があります。

ホワイトリストはセキュリティを改善する可能性がありますが、設計が不十分なホワイトリストは中央集権化リスクや隠れた管理者リスクを生む可能性があります。

1つの秘密鍵でホワイトリストのアドレスを追加または削除できる場合、その秘密鍵は強大な権限を持ちます。

管理鍵が侵害されると、攻撃者は権限を変更してコントラクトを悪用する可能性があります。

適切なホワイトリスト設計には、明確なルール、安全な管理権限、イベントログ、監査、適切な場合の透明なガバナンスを含める必要があります。

ウォレットセキュリティにおけるホワイトリスト

ウォレットおよびカストディシステムでは、出金アドレスのホワイトリストを使用する場合があります。

出金アドレスのホワイトリストとは、資金を送付できる承認済みアドレスのリストです。

出金アドレスが承認されていなければ、ウォレットまたはプラットフォームは出金をブロックします。

これにより、ユーザーを操作ミスやアカウント侵害から保護できる可能性があります。

例えば、攻撃者がユーザーのアカウントにアクセスしても、遅延または追加認証なしに新しい出金アドレスを追加できなければ、ホワイトリストは盗難リスクを軽減する可能性があります。

一部のウォレットでは、ユーザーが信頼するアドレスにラベルを付けることもできます。

一部のカストディシステムでは、新しいアドレスの追加前にマルチシグ承認が必要です。

一部の機関向け設定では、内部リスクおよびコンプライアンスポリシーを満たすためにアドレスのホワイトリストを使用します。

出金アドレスのホワイトリストは有用ですが、完全ではありません。

ユーザーが誤ったアドレスをホワイトリストに登録した場合、資金は依然として失われる可能性があります。

攻撃者が承認済みアドレスを管理している場合、ホワイトリストは役に立ちません。

ユーザーが悪意あるスマートコントラクトを承認した場合、出金アドレスのホワイトリストではすべての資産を保護できない可能性があります。

ウォレットのセキュリティには、引き続き秘密鍵の保護、トランザクションの確認、承認管理、フィッシングへの注意が必要です。

DeFiにおけるホワイトリスト

DeFiプロトコルはリスク管理のためにホワイトリストを使用する場合があります。

プロトコルは担保として使用できる資産をホワイトリストに登録する場合があります。

ボルトは資金の運用を許可する戦略をホワイトリストに登録する場合があります。

レンディング市場は特定のトークンのみをホワイトリストに登録または上場する場合があります。

許可型プールは適格性ルールを満たすユーザーをホワイトリストに登録する場合があります。

オラクルシステムはデータ提供者または価格フィードをホワイトリストに登録する場合があります。

ガバナンスシステムは、緊急操作を行えるアドレスをホワイトリストに登録する場合があります。

これらの管理はプロトコルをより安全にする可能性がありますが、オープン性も低下させます。

完全にオープンなDeFiプロトコルでは、スマートコントラクトルールに従う限り、誰でも操作できます。

ホワイトリストを使用するDeFiシステムは権限レイヤーを追加します。

この権限レイヤーは、コンプライアンス、セキュリティ、管理されたローンチに役立つ場合があります。

一方で、ユーザーはリストの管理者を信頼する必要があるため、信頼の前提を生む可能性があります。

ユーザーは、誰がアドレスを追加または削除できるか、変更に遅延があるか、ガバナンスがリストを管理するか、リストが悪用される可能性があるかを確認する必要があります。

ホワイトリストとMerkle tree

Merkle treeとは、ある項目が集合に属することを効率的に証明できる暗号学的構造です。

暗号資産のホワイトリストでは、この集合は承認済みウォレットアドレスのリストであることが多いです。

プロジェクトはすべてのアドレスをスマートコントラクトに直接保存する代わりに、1つのMerkle rootを保存します。

ユーザーが請求またはミントを行おうとする際、Merkle proofを提供します。

スマートコントラクトはMerkle rootに対してproofを確認します。

proofが有効であれば、コントラクトはアドレスが承認済みリストの一部であることを把握できます。

コントラクトが数千の個別アドレスを保存する必要がないため、ガス代を節約できます。

大規模な許可リストの管理も容易になります。

ただし、Merkle許可リストはユーザーにとって分かりにくい場合があります。

ユーザーが適格でも、フロントエンドが正しいproofを提供する必要があります。

ウェブサイトが壊れている、またはproofが誤っている場合、請求は失敗する可能性があります。

詐欺師は許可リストの請求ページをコピーすることが多いため、ユーザーはミントサイトが公式であることも確認する必要があります。

ホワイトリストと署名済みメッセージ

一部の暗号資産システムは、保存されたホワイトリストではなく署名済みメッセージを使用します。

このモデルでは、信頼されたサーバーが、ウォレットに操作を許可するというメッセージに署名します。

ユーザーはその署名をスマートコントラクトに送信します。

スマートコントラクトは、署名が承認済み署名者からのものかを確認します。

署名が有効で、期限切れまたは使用済みでなければ、操作は許可されます。

この方法は、プロジェクトが完全なリストをオンチェーンで公開する必要がないため、柔軟に対応できます。

動的な適格性にも対応できます。

ただし、署名者システムへの信頼が生まれます。

署名サーバーが侵害されると、攻撃者が不正な承認を生成する可能性があります。

署名ルールの設計が不十分な場合、リプレイ攻撃または二重請求が起こる可能性があります。

適切な署名済みメッセージによる許可リストには、chain ID、コントラクトアドレス、ウォレットアドレス、割当量、期限、nonce、明確なドメイン分離を含める必要があります。

ユーザーは、メッセージに署名する前にウォレットプロンプトを慎重に読む必要があります。

ホワイトリストの割当

ホワイトリストの割当とは、ホワイトリストに登録されたアドレスがミント、請求、購入、または出金できる量です。

NFTミントでは、1つのウォレットが1つのNFTをミントできる場合があります。

別のウォレットは3つのNFTをミントできる場合があります。

トークンセールでは、アドレスに最大購入額が設定される場合があります。

エアドロップでは、アドレスに活動に基づく請求可能トークン量が設定される場合があります。

ホワイトリストに登録されていても無制限のアクセスを意味するとは限らないため、割当ルールは重要です。

ユーザーは承認済みでも、割当を超えると失敗する可能性があります。

請求期間が終了している場合も失敗する可能性があります。

プロジェクトはクジラへの集中を抑えるため、ウォレットごとの上限を使用する場合があります。

初期サポーター、貢献者、NFT保有者、テストネットユーザー、ガバナンス参加者に異なる階層を設ける場合もあります。

ユーザーはトランザクションを送信する前に割当ルールを慎重に読む必要があります。

失敗したトランザクションでも、一部のネットワークではガス代がかかる可能性があります。

ホワイトリストのスナップショット

ホワイトリストのスナップショットとは、特定時点におけるウォレットの適格性の記録です。

プロジェクトは、ルールが明らかになった後にユーザーが行動を変えることを防ぐためにスナップショットを使用します。

例えば、エアドロップでは特定のブロック番号より前にトークンを保有していたウォレットを集計する場合があります。

NFTプロジェクトでは、特定の時点における過去コレクションの保有者を集計する場合があります。

ガバナンスシステムでは、定められたブロックにおける投票者または委任者を集計する場合があります。

スナップショットにより、適格性はより客観的になります。

ただし、スナップショットは混乱を生む場合もあります。

ユーザーがスナップショット後にトークンを購入し、適格ではないと分かる場合があります。

ユーザーがスナップショット後に資産を別のウォレットへ移動しても、旧ウォレットでは適格である場合があります。

ユーザーが請求インターフェースに対応していないスマートコントラクトウォレットを使用している場合があります。

スナップショットのルールは明確に発表する必要があります。

ユーザーは、適格性に使用される正確なブロック、タイムスタンプ、資産、ネットワーク、ウォレットアドレスを確認する必要があります。

ホワイトリストのグラインディングとSybil攻撃

ホワイトリストのグラインディングとは、ホワイトリスト登録の可能性を高めるために、ユーザーが多数のウォレットまたはアカウントを作成することです。

Sybil攻撃とは、1人または1つのグループが多くの独立したユーザーを装うことを指すより広い用語です。

ウォレット作成のコストが低いため、暗号資産ではSybil行為が一般的です。

プロジェクトは実際のユーザーに報いたいと考えても、ボットは適格性を得るために数千のウォレットを作成する可能性があります。

これによりホワイトリストの公平性が低下する可能性があります。

プロジェクトは、本人確認、Proof of Humanityツール、ソーシャルグラフ分析、活動スコアリング、入金要件、アンチボットシステム、手動レビューによってSybil攻撃に対抗する場合があります。

各方法にはトレードオフがあります。

厳格な本人確認はプライバシーを低下させる可能性があります。

活動スコアリングは新規ユーザーを不利にする可能性があります。

手動レビューは偏りやミスを生む可能性があります。

入金要件は小規模ユーザーを排除する可能性があります。

適切なホワイトリスト設計では、公平性、プライバシー、ユーザー体験、ファーミングへの耐性のバランスを取る必要があります。

ホワイトリストとKYC

一部の暗号資産ホワイトリストは、一般にKYCと呼ばれる本人確認と結び付けられています。

KYCとは、コンプライアンスまたはリスク管理を目的としてユーザーの身元を確認することです。

トークンセール、許可型プール、規制対象資産プラットフォームでは、ウォレットを許可リストに追加する前にユーザーがKYC認証を完了する必要がある場合があります。

これにより、プロジェクトが法的要件を遵守するのに役立つ場合があります。

地域またはユーザータイプによるアクセス制限にも役立つ場合があります。

ただし、KYCに基づくホワイトリストには、プライバシーおよびデータセキュリティ上の懸念があります。

ユーザーは第三者提供者に個人情報を提出する必要がある場合があります。

提供者が侵害された場合、機密情報が漏洩する可能性があります。

ユーザーは、誰がデータを収集するか、どのように保存するか、どのルールが適用されるか、プロジェクトが正当かどうかを理解する必要があります。

本人情報を求めるホワイトリストは、単純なウォレットアドレスの許可リストより慎重に扱う必要があります。

ユーザーは、ダイレクトメッセージまたは非公式チャネルで送られたリンクに書類をアップロードしないようにしてください。

ホワイトリストと秘密鍵

ホワイトリストで秘密鍵またはシードフレーズが必要になることはありません。

これは暗号資産における最も重要なセキュリティルールの一つです。

プロジェクトは、ホワイトリストに追加するために公開ウォレットアドレスを求める場合があります。

プロジェクトは、適格性確認のためにウォレット接続を求める場合があります。

プロジェクトは、ウォレット所有の証明としてメッセージへの署名を求める場合があります。

いずれも、ユーザーがシードフレーズまたは秘密鍵を開示する必要はありません。

FTCは、cryptocurrency scams guidanceで、暗号資産詐欺では偽の機会や欺瞞的な手法がユーザーをだますために使われることが多いと警告しています。

Chainalysisも、approval phishing reportで、犯罪者がウォレットを空にできる権限を与えるよう被害者をだます承認フィッシング攻撃について説明しています。

ホワイトリストページがシードフレーズを求める場合、それはほぼ間違いなく詐欺です。

ホワイトリストの請求で無制限のトークン承認を求められた場合、ユーザーは操作を中止し、トランザクションを慎重に確認する必要があります。

ホワイトリスト詐欺

ユーザーが早期アクセスを望むため、ホワイトリスト詐欺は暗号資産で一般的です。

詐欺師は、緊急性、希少性、機会損失への恐怖を利用し、ユーザーを急がせます。

偽アカウントが、ユーザーはホワイトリスト枠を獲得したと伝える場合があります。

偽サイトが、ウォレットはエアドロップの対象であると表示する場合があります。

偽のミントページが実在プロジェクトのデザインをコピーする場合があります。

偽のコミュニティモデレーターが、ウォレットの認証を求める場合があります。

偽のサポートアカウントが、ホワイトリストアクセスをリセットする必要があると主張する場合があります。

危険なのは通常、ホワイトリストという言葉自体ではありません。

危険なのは、ユーザーが署名するようだまされるトランザクションまたはメッセージです。

悪意ある承認により、詐欺師がトークンまたはNFTを移動できる可能性があります。

悪意ある署名により、ユーザーが理解していない操作が承認される可能性があります。

シードフレーズの要求により、詐欺師はウォレットを完全に管理できる可能性があります。

ユーザーは公式リンクを確認し、ダイレクトメッセージのミントリンクを避け、信頼できるページをブックマークし、ホワイトリスト請求を操作する前にウォレットセキュリティツールを使用する必要があります。

ホワイトリストとパブリックセールの違い

ホワイトリストセールは承認済みウォレットに限定されます。

パブリックセールは、コントラクトを操作でき、販売ルールを満たすすべての人に開放されています。

ホワイトリストセールは、パブリックセール前に使用されることが多いです。

コミュニティメンバーに早期アクセスを提供する場合があります。

需要を管理することでガス代を巡る競争を減らす場合があります。

プロジェクトが実際の貢献者に報いるのに役立つ場合があります。

パブリックセールはよりオープンな場合がありますが、ボット、高いガス代、急速な売り切れを招く可能性があります。

どちらのモデルも自動的に優れているわけではありません。

選考プロセスが隠されている、または操作されている場合、ホワイトリストセールは不公平になる可能性があります。

ボットが供給の大部分を獲得する場合、パブリックセールは不公平になる可能性があります。

ユーザーは、どちらの形式に参加する前にも、ルール、割当、価格、ロックアップ、スマートコントラクト、チームの行動、リスクを評価する必要があります。

アクセスできることは価値を意味しません。

ホワイトリストとウェイトリストの違い

ホワイトリストとウェイトリストは同じものではありません。

ホワイトリストは、ウォレットまたはユーザーがアクセスを承認されていることを意味します。

ウェイトリストは、ユーザーが後でアクセスできる可能性を待っていることを意味します。

一部のプロジェクトは両方を使用します。

ユーザーはまずウェイトリストに登録する場合があります。

プロジェクトは後で、一部のウェイトリストユーザーをホワイトリストに選ぶ場合があります。

ウェイトリストは、ミント、トークン請求、販売割当、アカウント承認を保証しません。

暗号資産ユーザーは文言を慎重に読む必要があります。

「ウェイトリストに参加する」は通常、関心登録を意味します。

「ホワイトリストに登録されています」は通常、特定のルールの下でアクセスが承認されていることを意味します。

それでも、ユーザーは期限前に操作を完了する必要がある場合があります。

ユーザーが請求期間を逃すと、ホワイトリスト枠は失効する可能性があります。

ホワイトリストとプレセールの違い

プレセールとは、パブリックローンチ前の早期販売です。

ホワイトリストとは、そのプレセールへの参加を許可されたユーザーのリストです。

両用語は関連していますが、同じではありません。

プロジェクトはホワイトリストに登録されたウォレットのみを対象にプレセールを開催する場合があります。

別のアクセスルールを使用する場合、ホワイトリストなしでプレセールを実施することもできます。

プレセールのホワイトリストに登録されても、プレセールの安全性は保証されません。

プレセールには依然として、不適切なトークノミクス、隠れたインサイダー割当、流動性不足、未監査コントラクト、偽チーム、ラグプルリスクが含まれる可能性があります。

ユーザーは、ホワイトリストアクセスを品質の証とみなすのではなく、プロジェクトを評価する必要があります。

独占性は圧力を生むため、詐欺師はホワイトリスト枠を限定的に感じさせることが多いです。

残り数分で枠を請求する必要があるとプロジェクトが伝える場合、安全を意識するユーザーは冷静になる必要があります。

ホワイトリストとロールベースのアクセス制御

単純なホワイトリストは通常、すべての承認済みアドレスに同じ権限を付与します。

ロールベースのアクセス制御は、異なるロールに異なる権限を付与します。

例えば、あるロールはコントラクトの一時停止を許可される場合があります。

別のロールはミントを許可される場合があります。

別のロールはメタデータの更新を許可される場合があります。

別のロールはホワイトリスト管理を許可される場合があります。

OpenZeppelinのアクセス制御ドキュメントでは、ロールベースの権限システムと、誰が何を行えるかを理解する重要性がスマートコントラクトにおいて説明されています。

ロールベースのアクセス制御は、単純なホワイトリストより柔軟です。

同時に、より複雑です。

複雑な権限システムは、危険な管理者権限を隠す可能性があります。

ユーザーと監査者は、どのロールが存在するか、誰が管理するか、譲渡可能か、マルチシグ管理を使用するか、時間遅延があるかを確認する必要があります。

ホワイトリストは「このアドレスは許可されているか？」に答えます。

ロールベースのアクセス制御は「このアドレスは具体的に何を行うことを許可されているか？」に答えます。

ホワイトリストとガス代

ホワイトリスト関連のトランザクションでもガス代が必要になる場合があります。

承認されていることは、トランザクションが無料であることを意味しません。

ユーザーは、ミント、請求、承認、送金、スマートコントラクト操作のためにネットワーク手数料を支払う必要がある場合があります。

トランザクションが失敗した場合でも、ネットワークおよび失敗の種類によってはガス代を失う可能性があります。

このため、ユーザーは正しいネットワークに接続し、正しい請求期間内にいることを確認する必要があります。

また、ウォレットアドレスがホワイトリストに登録されたアドレスと完全に一致しているかを確認する必要があります。

NFTミントでMerkle proofを使用している場合、インターフェースが誤ったproofを提供すると請求が失敗する可能性があります。

トークンセールにウォレットごとの上限がある場合、ユーザーが買いすぎようとするとトランザクションが失敗する可能性があります。

ホワイトリストがすでに使用済みである場合、2回目の請求は失敗する可能性があります。

利用可能な場合、ユーザーは署名前にトランザクションシミュレーション結果を読む必要があります。

ホワイトリストとプライバシー

ホワイトリストはプライバシーに影響する可能性があります。

プロジェクトが適格なウォレットアドレスのリストを公開する場合、第三者はそれらのウォレットを分析できます。

残高、取引履歴、NFT保有、DeFi活動、その他のオンチェーン行動を確認できる可能性があります。

プロジェクトが完全なリストを公開しなくても、成功した請求によって時間とともに適格ウォレットが明らかになる可能性があります。

プライバシーを重視するユーザーは、異なる活動に別々のウォレットを使用する場合があります。

ただし、多数のウォレットを使用することは管理リスクを生む可能性があります。

プロジェクトがユニークユーザーに報いたい場合、Sybilに関する懸念も生む可能性があります。

プライバシーと適格性はしばしば緊張関係にあります。

プロジェクトは実際のユーザーを識別したいと考えます。

ユーザーはすべての活動を1つのアドレスに結び付けることを避けたい場合があります。

適切なホワイトリスト設計では、必要な情報のみを収集し、適格性データの使用方法を説明する必要があります。

ウォレットがホワイトリストに登録されているか確認する方法

ホワイトリストのステータスを確認する最も安全な方法は、公式プロジェクトページまたはコントラクトメソッドを使用することです。

ユーザーはプロジェクトの公式ウェブサイトまたは認証済みソーシャルチャネルから始める必要があります。

ダイレクトメッセージ、返信、コメント、ランダムな検索広告のリンクは避ける必要があります。

コントラクトアドレスとネットワークを確認する必要があります。

ページが確認済みの場合にのみウォレットを接続する必要があります。

何かに署名する前にウォレットプロンプトを読む必要があります。

一部の確認は公開データの読み取りのみで、署名を必要としません。

一部の確認では、ウォレット所有を証明するための無害なメッセージ署名が必要です。

一部の操作ではオンチェーンのトランザクションとガス代が必要です。

ユーザーは、自分がどの種類の操作を行っているかを理解する必要があります。

ホワイトリストチェッカーがシードフレーズ、秘密鍵、または完全なウォレット復旧情報を求める場合、直ちに閉じる必要があります。

プロジェクトがホワイトリストを構築する方法

プロジェクトは明確なルールに基づいてホワイトリストを設計する必要があります。

ウォレットアドレスを収集する前に適格性基準を説明する必要があります。

ユーザーが資格獲得のために時間や資金を使った後に、黙ってルールを変更することは避ける必要があります。

安全なスマートコントラクトパターンを使用する必要があります。

大規模なリストにはMerkle proofまたは署名済みメッセージを検討する必要があります。

ローンチ前に請求ロジックをテストする必要があります。

複数の認証済みチャネルで公式リンクを公開する必要があります。

シードフレーズが必要になることはないとユーザーに警告する必要があります。

可能な場合は管理者権限を制限する必要があります。

機密機能にはマルチシグ管理と時間遅延を使用する必要があります。

ホワイトリスト設定が変更された際にはイベントを発行する必要があります。

割当、期限、価格、返金ルール、リスク要因を文書化する必要があります。

OWASPは、Input Validation Cheat Sheetで、許可リスト検証は承認対象を正確に定義し、その他すべてを拒否すると説明しています。

同じ原則が暗号資産のアクセス制御にも当てはまります。許可するものを定義し、一貫して適用してください。

ホワイトリストのメリット

ホワイトリストの1つ目のメリットは、管理されたアクセスです。

プロジェクトは、誰がミント、請求、購入、出金、または機能の呼び出しを行えるかを決められます。

2つ目のメリットは、ボットの削減です。

ホワイトリストにより、ローンチ時に自動ボットが供給量のすべてを獲得することをより困難にできます。

3つ目のメリットは、コミュニティへの報酬です。

プロジェクトは、初期サポーター、貢献者、テスター、投票者、クリエイター、長期保有者に報いることができます。

4つ目のメリットは、ローンチ時の負荷低減です。

ホワイトリスト期間は、需要を時間に分散させることでガス代を巡る競争を減らせます。

5つ目のメリットは、コンプライアンス管理の向上です。

一部のシステムでは、法的または機関的な理由から承認済みの参加者が必要です。

6つ目のメリットは、ウォレットセキュリティです。

出金アドレスのホワイトリストは、未知のアドレスへの資金送付リスクを軽減できます。

7つ目のメリットは、スマートコントラクトの安全性です。

アクセス制御は、不正なユーザーによる機密機能の呼び出しを防止できます。

ホワイトリストのリスク

1つ目のリスクは、誤った信頼です。

ユーザーはホワイトリストに登録されていることがプロジェクトの安全性を意味すると考える場合があります。

そうではありません。

2つ目のリスクは、中央集権化です。

通常、誰かが追加または削除する対象を決める必要があります。

3つ目のリスクは、管理鍵の侵害です。

ホワイトリストの管理が1つの秘密鍵に委ねられている場合、その鍵は主要な攻撃対象になる可能性があります。

4つ目のリスクは、不公平な割当です。

ホワイトリストは、インサイダー、ボット、インフルエンサー、隠れたルールを理解するユーザーを優遇する可能性があります。

5つ目のリスクはフィッシングです。

偽のホワイトリストリンクは一般的です。

6つ目のリスクは、プライバシーの低下です。

ホワイトリストの適格性により、ウォレット活動が明らかになったり、ユーザーとアドレスが結び付いたりする可能性があります。

7つ目のリスクは、技術的な失敗です。

不適切なMerkle proof、誤ったスナップショット、壊れたフロントエンド、コントラクトのバグにより、正当なユーザーがブロックされる可能性があります。

8つ目のリスクは、過度な期待です。

ホワイトリストの希少性により、ユーザーがプロジェクトの基礎的な要素を無視する可能性があります。

ホワイトリストに関するよくある誤解

一つの誤解は、ホワイトリストアクセスが利益を保証するというものです。

保証しません。

もう一つの誤解は、ホワイトリストがプロジェクトがブロックチェーンによって検証されたことを意味するというものです。

ブロックチェーンはコードのルールを適用するだけなので、そうではありません。

3つ目の誤解は、ホワイトリストに参加するためにシードフレーズを共有する必要があるというものです。

共有してはなりません。

4つ目の誤解は、ウォレット接続だけなら常に安全というものです。

ウォレット接続は通常、署名より危険性が低いですが、接続後に悪意ある承認へ誘導される可能性はあります。

5つ目の誤解は、すべてのホワイトリストが公平だというものです。

公平なものもあれば、管理が不十分なもの、過度な期待を生むために設計されたものもあります。

6つ目の誤解は、許可リストは変更できないというものです。

固定されたリストもあれば、管理者またはガバナンスが更新できるリストもあります。

7つ目の誤解は、ホワイトリストは常にオンチェーンであるというものです。

多くのホワイトリストはオフチェーンで保存されるか、proofとして表されます。

ホワイトリストの安全チェックリスト

ユーザーは、ホワイトリストに参加する前に公式ウェブサイトを確認する必要があります。

正しいネットワークとコントラクトアドレスを確認する必要があります。

シードフレーズや秘密鍵を共有してはなりません。

ダイレクトメッセージのミントリンクを避ける必要があります。

署名する前にウォレットプロンプトを慎重に読む必要があります。

トランザクションがトークンまたはNFTの承認を付与するか確認する必要があります。

ミント価格、請求量、割当、期限を理解する必要があります。

プロジェクトが明確なルールを公開しているか確認する必要があります。

ホワイトリスト枠だけでなく、プロジェクト自体を評価する必要があります。

複数ウォレットを安全に管理できる十分な経験がある場合は、高リスクのミント向けに別のウォレットを使用する必要があります。

不要になったリスクの高い承認は取り消す必要があります。

緊急性は一般的な詐欺手法であることを覚えておく必要があります。

ホワイトリストを簡単に説明すると

ホワイトリストとは、承認済みのリストです。

暗号資産では、通常、このリストにはウォレットアドレスが含まれます。

アドレスがリストにある場合、ミント、請求、購入、出金、または機能の利用を許可される場合があります。

アドレスがリストにない場合、システムにブロックされる可能性があります。

ホワイトリストと許可リストは通常同じ意味です。

許可リストは、より明確な現代的用語です。

ホワイトリストは、アクセス制御、コミュニティ報酬、NFTミント、エアドロップ、ウォレットセキュリティに役立つ場合があります。

偽の請求ページを作る詐欺師に悪用される場合もあります。

初心者向けの最も重要なルールは単純です。

本物のホワイトリストでは公開ウォレットアドレスが必要な場合がありますが、シードフレーズが必要になることはありません。

FAQ

暗号資産におけるホワイトリストとは何ですか？

暗号資産におけるホワイトリストとは、特定の操作を行うことが許可されたウォレットアドレス、ユーザー、またはコントラクトのリストです。

ホワイトリストと許可リストは同じですか？

はい。ホワイトリストと許可リストは通常同じ意味ですが、許可リストの方が明確で現代的です。

NFTホワイトリストとは何ですか？

NFTホワイトリストとは、制限されたミント期間中にNFTをミントできる承認済みウォレットのリストです。

トークンセールのホワイトリストとは何ですか？

トークンセールのホワイトリストとは、特定のルールに従ってトークンセールへの参加を許可された参加者のリストです。

エアドロップのホワイトリストとは何ですか？

エアドロップのホワイトリストとは、トークンまたは報酬を請求できる適格ウォレットのリストです。

ホワイトリストに登録されると利益は保証されますか？

いいえ。ホワイトリストアクセスは参加の許可を与えるだけで、利益またはプロジェクトの成功を保証しません。

ホワイトリストはオンチェーンに保存できますか？

はい。ホワイトリストはスマートコントラクトに直接保存できますが、大規模なリストではMerkle proofまたはオフチェーンシステムがよく使用されます。

Merkleホワイトリストとは何ですか？

Merkleホワイトリストとは、すべてのアドレスをオンチェーンに保存せず、Merkle rootとMerkle proofを使用してウォレットが承認済みリストの一部であることを確認する仕組みです。

プロジェクトがホワイトリストを使用する理由は何ですか？

プロジェクトは、アクセス管理、初期ユーザーへの報酬、ボット削減、コンプライアンス管理、機密性の高いスマートコントラクト機能の保護のためにホワイトリストを使用します。

ホワイトリストは不公平になることがありますか？

はい。割当ルールが不明確である場合、インサイダーが優遇される場合、ボットが枠を獲得する場合、プロジェクトチームが透明性なくルールを変更する場合、ホワイトリストは不公平になる可能性があります。

ホワイトリストは変更できますか？

固定されたホワイトリストもあれば、管理者、マルチシグ、ガバナンス、オフチェーンシステムが変更できるものもあります。

出金アドレスのホワイトリストとは何ですか？

出金アドレスのホワイトリストとは、ウォレットまたはカストディシステムが資金の送付を許可する承認済みアドレスのリストです。

ホワイトリストのステータスを確認するためにウォレットを接続する必要がありますか？

必要な場合もありますが、ユーザーは公式リンクを通じてのみ接続し、シードフレーズを共有してはなりません。

ホワイトリストのためにメッセージへ署名すべきですか？

ウォレット所有を証明するためにメッセージへ署名することは通常の操作である場合がありますが、ユーザーはメッセージを慎重に読み、不審な要求を避ける必要があります。

ホワイトリスト請求によりウォレットが空になることはありますか？

偽のホワイトリスト請求は、悪意ある承認への署名や秘密情報の開示をユーザーに促す場合、ウォレットを空にする可能性があります。

ホワイトリスト詐欺の最大の警告サインは何ですか？

最大の警告サインは、非公式リンクからシードフレーズ、秘密鍵、または緊急のウォレット承認を求めるサイトや人物です。

ホワイトリストはKYCと同じですか？

いいえ。ホワイトリストは承認済みアクセスリストであり、KYCは、ユーザーをホワイトリストに追加する前に使用される場合がある本人確認プロセスです。

ホワイトリストリンクを使用する前に何を確認すべきですか？

ユーザーは、何かに署名する前に、公式ウェブサイト、コントラクトアドレス、ネットワーク、請求ルール、ウォレットプロンプト、プロジェクトの正当性を確認する必要があります。

まとめ

ホワイトリストは、暗号資産で最も一般的なアクセス制御ツールの一つです。

NFTミント、トークンセール、エアドロップ、ウォレット出金、DeFiの権限、スマートコントラクトの管理機能、コミュニティ報酬で使用されます。

現代的な用語であるallowlistの方が明確ですが、ホワイトリストは暗号資産ユーザーの間で依然として広く使われています。

基本的な考え方は単純です。承認済みアドレスは操作でき、未承認アドレスは操作できません。

ホワイトリストは、ローンチを円滑にし、実際のユーザーに報い、ボットを減らし、コンプライアンスを支援し、機密機能を保護する可能性があります。

一方で、不公平、中央集権的、保護不十分である場合や、詐欺師の誘い文句として使用される場合にはリスクも生みます。

ユーザーは、ホワイトリストアクセスがプロジェクトの安全性または収益性を意味すると考えるべきではありません。

また、ホワイトリスト参加のためにシードフレーズや秘密鍵を共有してはなりません。

最も安全な方法は、公式リンクを確認し、ウォレットプロンプトを読み、ルールを理解し、コントラクトを確認し、プロジェクト自体を評価することです。

開発者は、安全なアクセス制御、明確な適格性ルール、慎重な管理者権限の管理、透明なコミュニケーションに基づいてホワイトリストを構築する必要があります。

ユーザーにとって、ホワイトリストが有用であるのは、それが本物で安全であり、信頼に値するプロジェクトと結び付いている場合のみです。

暗号資産では、参加を許可されることは最初の一歩に過ぎません。

何への参加を許可されているのかを理解することが最も重要です。