Magic Edenの旧利用者を襲ったNFT流出リスク　原因は残された「承認」

2026年9月25日、数百のウォレットから3,832点のNFTが動き、Magic Edenに関連する取引コントラクトを通じた「0 ETHでの売却」のように記録された。大量流出に見えたこの移動について、後にYuga Labsのブロックチェーン部門副社長Quit（0xQuit）は、自分が管理するウォレットを使い、攻撃者に奪われる前にNFTを保護しようとしたものだと説明した。1928

ただし、実際の窃取も起きていた。問題の中心はMagic Edenの現行の出品機能ではなく、同社が以前使っていたLimit BreakのNFT取引プロトコル「Payment Processor」に残された欠陥だった。1922

攻撃と救出は、別の出来事

ウォレットの承認状況を確認できるサービスRevoke.cashによると、欠陥の悪用は9月24日に始まった。攻撃者はPayment Processorに承認を与えたウォレットになりすまし、NFTを無料で取得したり、価値のないNFTを買わせる形で承認済みのトークンを引き出したりできたという。39

Quitによると、攻撃者に盗まれたNFTにはMeebits 10点、Otherdeeds 50点、World of Women 10点、Desperate ApeWives 235点が含まれる。これは翌25日に注目された3,832点の保護目的の移動とは区別する必要がある。927

NFTトレーダーのCirrusがその大量移動を指摘した後、QuitとLimit Breakによるホワイトハット（防御目的の活動）の規模は拡大。最終的に23,155点、評価額570万ドル超のNFTが保護下に移されたと報じられた。保管先としては先頭が0x71cfのアドレスが示され、所有者が安全を確保した後に資産を取り戻せると説明されている。ただし、保護下への移動は、全点がすでに所有者へ返還されたことを意味しない。242737

NFTの救出によって、関連する損失がすべて解消したわけでもない。約660 WETH（イーサをトークン化した資産）については、間に合わず回収できなかったとの報告がある一方、なおリスクにさらされていたとする報道もある。少なくとも、NFTの救出をこの資金の回収と同一視はできない。2813

市場を閉じても、承認は消えない

Magic EdenはPayment Processor V2の利用を2024年10月にやめ、イーサリアムと互換性のあるブロックチェーン向けのEVM市場を2026年第1四半期に閉鎖したという。同社は、影響を受ける可能性があるのはおおむね2024年2月から10月に行われた出品だとし、現在有効なMagic Edenの出品は影響を受けていないと説明した。522

ここで重要なのは、「出品」と「承認」は別だという点だ。承認は、ウォレットがコントラクトに与えるオンチェーン上の権限を指す。出品を取り消したり、市場が閉鎖されたりしても、その権限は自動的には取り消されない。今回の攻撃には所有者の新たな署名も不要だったため、秘密鍵をハードウェアウォレットで保管していても、すでに与えた権限への対策にはならない。739

元利用者が確認すべきこと

QuitとRevoke.cashは、イーサリアム上のPayment Processor V2とApeChain上のPayment Processor V3に対する該当の承認を、Revoke.cashなどのツールで取り消すよう呼びかけた。Magic Edenも、旧EVM市場の利用者にPolygonとBaseを含むV2の承認確認を促している。Revoke.cashは、ほかのチェーンでも攻撃が起きたと報告している。22243538

NFTが保護先に移された所有者も、返還を受ける前に影響を受ける承認を取り消すよう求められている。取引サービスを使わなくなった後も、ウォレットが与えた権限は残り得る。今回の事件が示したのは、出品を消すことと、承認を取り消すことは同じではないという点だ。24739