MAGIC:ホワイトハットがMagic Eden脆弱性で570万ドル超の23,155 NFTを救出

23,155点のNFTをホワイトハットが救出

Magic Edenは金曜日、同社がすでに閉鎖したEVMマーケットプレイス(Ethereumおよびその互換チェーンを対象)に、2024年2月頃から10月頃にかけて出品されたNFTが、NFT取引・決済プロトコルであるLimit Breakの「Payment Processor V2」に残る脆弱性のリスクにさらされていると警告した。Yuga Labsのブロックチェーン担当副社長を務めるQuit(0xQuit)氏がX上の詳細な投稿で明らかにしたところによると、攻撃者は米東部時間午前9時にこの不具合を悪用し、Meebits 10点、Otherdeeds 50点、World of WomenのNFT 10点、Desperate ApeWives 235点を窃取した。Magic Edenは2024年にこのコントラクトを取引決済に採用したが、同年10月に利用を停止し、EVMマーケットプレイス自体は2026年初頭に完全閉鎖していた。それでも、PayFi型の決済権限が残存していたため、過去の出品が依然リスクにさらされていた。同社は「現在稼働中のMagic Edenの出品には影響がない」と声明している。

数百のウォレットに影響

当初の報告は被害範囲を過小評価していた。最初の被害確認では数百のウォレットから3,832点のNFTが流出したとされ、この数字は対応開始後わずか数時間分を捉えたものにすぎない。ホワイトハット救出作戦とは、信頼できるセキュリティ研究者が攻撃者に先んじて脆弱な資産を安全な保管先へ移し、リスクが解消された後に返却する取り組みを指す。0xQuit氏の時系列資料によれば、疑わしい欠陥はYuga Labsのブロックチェーンチームに、初回窃取から12時間以上経ってから報告されており、攻撃者に大きな猶予を与える結果となった。さらにこの警告は、正体不明のハッカーがBitget取引所からEthereum等の資産3億8000万ドル以上を流出させた事件の翌日に発表された。セキュリティ監視筋はこれを今年最大の暗号資産ハッキングと位置づけている。

ホワイトハットが所有者の署名なしに資産を移動できた事実は、旧来の承認モデルがいかに緩かったかを浮き彫りにする。ユーザーがNFTを出品する際、通常はコントラクトに「全許可(approved for all)」権限を付与し、この権限は明示的に取り消されるまで有効であり続ける。つまり、侵害された決済経路を呼び出せる者は誰でも、実質的に資産を支配できる。Limit Breakは同じ欠陥を抱えるPayment Processor V3を停止したが、V2には停止機能がなく、一斉移動による救出が唯一の防御手段だった。2024年以降マーケットプレイスに一切触れていないユーザーも、休眠中だと考えているコントラクト上に有効な権限を保持している可能性があり、このリスクは秘密鍵セキュリティとマーケットプレイス基盤の交差点に正しく位置づけられる。

Magic Edenの「取り消し優先」対応

Magic Edenのガイダンスは明快だ。同社のEVMマーケットプレイスで出品または取引したことがある人は、Revoke.cashを使い、Ethereum、Polygon、Base上でV2コントラクトの「全許可」権限を取り消すべきだとしている。同社は、取り消してもすでに移動済みのトークンは戻らず、2024年10月以降に作成された出品は影響を受けない見込みであると注意を促した。あわせて、Payment Processor V2の利用を2024年10月に停止し、EVMマーケットプレイスを2026年第1四半期に閉鎖したことを確認したため、稼働中の出品は露出していない。Solana上で自動マーケットメーカー(AMM)の流動性プールとともに成長し、その後マルチチェーンに展開したこのマーケットプレイスは、2月にEthereumとBitcoinのサポートを終了し、Solanaと暗号カジノ「Dicey」に注力する方針へ転換していた。

660 WETHが未回収のまま救出終了

最終集計は作戦の規模とその代償の両方を示している。Yuga LabsのCEO Michael Figge氏は、欠陥の特定が対応開始の数時間前だったと述べた。0xQuit氏は、合計で570万ドル超の価値を持つ23,155点のNFTが安全な場所へ移されたことを確認した。所有者は承認を取り消した後、資産を取り戻せる。一方、脆弱性の逆パターンにさらされていた約660 WETHは間に合わず回収できなかった。Quit氏は、取り消し用としてPayment Processor V2(Ethereum)とV3(ApeChain)のコントラクトアドレスを公開しており、Magic EdenはLimit Breakとともにさらなる軽減策を調査を継続していると明らかにした。回収済みのNFTは、0x71cFで始まるアドレスに安全な返却まで一時保管されている。

休眠承認こそが本当の攻撃面

救出されたトークンを所有者が受け取るための専用請求サイトが稼働を開始した。0xQuit氏は土曜の夜、ポータルがnftsaresafu.xyzでホストされていると発表した。これは唯一の公式アドレスであり、私信で拡散される偽「クレーム」サイトへの警戒が呼びかけられている。所有者は標準的なガス代を超える追加費用なしでNFTを取り戻せるが、その前提として、事件の原因となったPayment Processorの承認を取り消す必要がある。発表時点で、救出資産26,448点のうち約2,357点が請求済みだった。ERC721CまたはERC1155Cコレクションの保有者は転送チェックでブロックされる可能性があり、設定の調整かサイトの許可リスト登録が必要で、今後数日中に修正が予定されている。OpenSeaの共同創業者Alex Atallah氏は、チームが再売却を防ぐため3,000点超を盗難フラグ付きとして申告したと述べた。市場をリアルタイムで追いたい読者は、Binanceでスポットおよび先物の価格を確認できる。

（17:42 UTC 時点） (執筆時点:17:42 UTC) これらの展開を通読すると、一つの構図が浮かび上がる。休眠状態のマーケットプレイスが、休眠状態の承認権限によって生かされ続けたということだ。COINOTAGが一次記録――0xQuit氏本人の投稿と公開されたコントラクトアドレス、これは事実上のインシデント届出として機能する――を検証した結果、核心的な数値は確認できた。保護されたNFTは23,155点・570万ドル超、初回の救出移動は3,832点、逆経路で失われたのは660 WETHである。ホワイトハット救出作戦は、事実上の非公式なDeFi保険として機能する。保険契約もプレミアムもない、コミュニティ主導の損失軽減だ。保有者にとっての本質的な教訓は投機的なものではなく手続き的なものである。方針転換や閉鎖済みのプラットフォームで数年前に付与した承認は、取り消されるまで有効な攻撃面であり続ける。