Rabby Wallet は安全？

結論

公式ストアからインストールした本物の Rabby Wallet は、日常的な EVM 利用において堅実な選択肢であり、署名前のチェックにより実際には多くのウォレットより安全です。「安全かどうか」はウォレットそのものよりも使い方に左右されます。偽物のダウンロード、ウェブサイトへのシードフレーズの入力、ドレイナーコントラクトへの無制限の承認は、どんなウォレットでも資金を空にしてしまいます。多額の資金を扱うなら、Rabby をハードウェアウォレットと組み合わせてください。

Rabby が鍵を守るしくみ

• セルフカストディ。シードフレーズと秘密鍵はあなたの端末上で生成され、パスワードで暗号化して保存されます。Rabby のサーバーはそれらを保持しません。
• ローカルパスワード。パスワードはその端末でウォレットのロックを解除するためだけのものです。アカウントのパスワードではなく、他の場所で資金を復元することはできません。忘れた場合はシードフレーズから復元します（Rabby のパスワードを忘れた場合を参照）。
• ハードウェアウォレットの選択肢。Ledger、Trezor、Keystone などのデバイスを使えば、鍵がパソコンやスマートフォンに触れることはありません。Rabby はデバイスが署名するトランザクションを準備するだけです。Rabby でのハードウェアウォレットの使い方をご覧ください。
• 署名前のチェック。Rabby は各トランザクションをシミュレーションして予想される残高の変化を表示し、危険な承認、見慣れない受取人、疑わしいコントラクトを警告します。トランザクションシミュレーションをご覧ください。

オープンソース

拡張機能のソースコードは MIT ライセンスで GitHub に公開されており、モバイルアプリのコードも別のリポジトリで公開されています（CryptoSlate によるとライセンスファイルなし、2026年10月）。コードが公開されていれば、研究者は鍵の保存方法を確認できます。ただし、それだけではストアのビルドがコードと一致することの証明にはなりません。だからこそ監査と長い実績も重要なのです。

監査

Rabby は監査報告書を GitHub リポジトリの audits フォルダで公開しており、Least Authority も自社サイトで報告書を公開しています。

出典：Least Authority の監査ページ、Rabby の GitHub の監査フォルダ、CryptoSlate のレビュー（2026年10月24日更新）。2026年の報告書は全文を読めなかったため、指摘内容は要約していません。監査はある時点のコードのレビューであり、保証ではありません。未解決の指摘とは、報告書の公表時点で、監査人が改善の余地を認めたものの Rabby がまだ採用していなかった点を意味します。既知の攻撃手法によって資金が危険にさらされていたという意味ではありません。

2022年10月の Rabby Swap 攻撃

Rabby Swap は2022年9月14日に提供を開始しました。2022年10月11日、攻撃者がスワップコントラクトの欠陥を突き、承認していたユーザーのトークンを複数のチェーンで移動させました（The Block、2022年10月11日）。報告された損失は約114 ETH と179 BNB で、当時のレートで約20万米ドルでした（Web3 Is Going Great、CryptoSlate）。このコントラクトは PeckShield の監査を受けていましたが、欠陥は見落とされていました。

Rabby は Swap を利用したことのあるすべてのユーザーに、全チェーンですべての承認を取り消すよう呼びかけ、Swap を一度も使っていないウォレットは影響を受けないと説明しました。秘密鍵は影響を受けていません。後年の一部のレビューでは被害者に補償が行われたとされていますが、これに関する Rabby の当初の声明は見つけられませんでした。旧コントラクトは停止できないため、まだそれを指している承認は危険なままです。この教訓はすべてのウォレットに当てはまります。コントラクトへの承認は、取り消すまで有効なまま残ります。承認の解説ツールで確認し、古い承認を取り消してください。その他の出来事は Rabby のセキュリティの歴史に掲載しています。

サイレント署名のバグ（2026年8月）

2026年8月、セキュリティ研究者の V12 が拡張機能の欠陥を公表しました。すでに接続済みの悪意あるサイトが、ユーザーに見えない形で署名を取得できるというものでしたが、自動ロックが10分に設定されている場合に限られていました。Rabby のコード修正により、保留中の署名リクエストがウォレットのロック解除だけで承認されることはなくなりました。修正版の拡張機能は2026年8月11日にリリースされ、モバイルアプリは影響を受けず、悪用も報告されていません（TechFlow、2026年8月20日、Rabby GitHub）。Rabby は常に最新の状態にしておいてください。

2025年9月、人気の JavaScript パッケージを狙った大規模な攻撃が起きた際、Rabby は依存関係のバージョンを固定しているためウォレットは影響を受けていないと発表しました（Rabby の X 投稿、2025年9月9日、IQ.wiki による要約）。

より大きなリスク：偽の Rabby ウォレット

Rabby 関連の損失は、バグよりもなりすましによるもののほうがはるかに多くなっています。

• 偽の App Store アプリ（2024年2月）。本物の Rabby iOS アプリがリリースされる前に、「Solution Development」という開発者の "Rabby Wallet & Crypto Solution" というアプリがシードフレーズを盗みました。Rabby は2024年2月16日にユーザーに警告しました（ForkLog）。
• 偽の Firefox アドオン（2025年・2026年）。Socket の研究者は、ウォレットデータを攻撃者に送信する悪意ある Firefox アドオン40個の中から、改ざんされた Rabby ビルドを13個発見し（The Hacker News、2026年8月20日）、2026年10月にはさらに4つの Rabby のクローンを発見しました。Rabby に公式の Firefox アドオンはありません。
• 偽のウェブサイト。Rabby の検索結果には、無料ホスティング、オンライン講座プラットフォーム、乗っ取られたサイト上の似せたダウンロードページがあふれています。

詳細と復旧手順は偽の Rabby ウォレット詐欺をご覧ください。

署名ウィンドウでの危険信号

Rabby のポップアップは情報を表示してくれますが、読むのはあなた自身です。以下のいずれかが表示されたら、手を止めて拒否してください。

• 予想していないトークンが出ていく。例えば「無料ミント」や「claim（請求）」で、ETH やステーブルコインが出ていくと表示される場合。
• 取引していないトークンへの承認や permit。特に無制限の金額や、Rabby が新規・危険と表示する承認先の場合。
• 見知らぬサイトでの NFT コレクションに対する「set approval for all」リクエスト。そのコレクションのすべての NFT を引き渡すことになります。
• 内容を理解できないオフチェーン署名（permit）。メッセージへの署名は、その時点でガス代を一切使わずに送金を許可してしまうことがあります。
• 以前使ったはずのアドレスなのに「初めての受取人」と表示される。アドレスポイズニングの典型的な兆候です。アドレスチェッカーでアドレス全体を比較してください。
• 訪問するつもりだったサイトではない。リクエストに表示されるドメインを確認してください。

正直に言うと限界もある

• ホットウォレットである。鍵はインターネットに接続された端末上にあります。パソコンやスマートフォンのマルウェア、悪意あるブラウザ拡張機能に盗まれる可能性は残ります。
• ブラウザのリスク。インストールした他の拡張機能はすべてウェブページを読み取り・変更でき、攻撃者に乗っ取られるものもあります。拡張機能は最小限にしてください。
• 警告は無視できてしまう。Rabby では警告を無視して署名でき、特殊なトランザクションではブラインド署名も依然として可能です。
• シミュレーションには限界がある。示されるのは「今」起こることで、承認したコントラクトが後で何をするかは予測できず、すべてのカスタムネットワークで動作するとは限りません。
• 弱いパスワードはローカルの暗号化を弱める。長く、使い回していないパスワードを使ってください。

Rabby を安全に使う方法

1. 公式ストアからのみインストールする。rabby.io は自分で入力するかブックマークから開き、拡張機能 ID acmacodkjbdgmoleebolmdjonilkdbch を確認ツールでチェックする。
2. シードフレーズは紙か金属に書き、オフラインで保管する。シードフレーズのバックアップを参照。
3. シードフレーズをウェブサイト、チャット、フォームに絶対に入力しない。Rabby と DeBank がそれを求めることはなく、本物のサポートが先に DM してくることもない。
4. すべての署名で残高変化のプレビューを読む。予想していないトークンが出ていくと表示されたら中止する。
5. 無制限の承認を避け、古い承認は定期的に取り消す。
6. 貯蓄にはハードウェアウォレットを使い、ホットアカウントには日常で使う分だけを置く。
7. ブラウザと Rabby を最新の状態に保ち、不要な拡張機能は削除する。

よくある質問