Magic Eden / Limit Break Hack

Payment Processorは、Limit Breakが開発したNFT取引プロトコルです。Magic Edenは2024年にマーケットプレイスでの取引にこれを使用していたため、多くのユーザーが、NFTやWETHなどのトークンを移動できるようこのプロトコルを承認しました。Magic Edenは2024年10月に使用を停止しましたが、それらの承認は有効なまま残りました。2026年9月24日、攻撃者は、このプロトコルを承認したあらゆるウォレットに代わって操作できる欠陥の悪用を始めました。攻撃者はこれを使って、NFTを無償で奪ったり、ウォレットに価値のないNFTを強制的に購入させて、承認されたトークンを抜き取ったりしました。攻撃に必要なのは承認だけなので、出品をキャンセルしても身を守ることはできません。

その後、攻撃者はEthereum、Polygon、Base、Arbitrum、ApeChain上で、少なくとも280万ドル相当のNFTとトークンを盗んでおり、この記事の執筆時点でも盗難は続いていました。被害を抑えるため、Yuga Labsの0xQuitを中心とするセキュリティ研究者たちが同じ欠陥を利用して、570万ドル以上に相当する2万3000点を超えるNFTを救出し、保管のために自分たちが管理するウォレットへ移しました。0xQuitによると、所有者は承認を取り消した後に、これらのNFTを取り戻せるようになるとのことです。

Payment Processorの旧バージョン（V2）は一時停止も修正もできないため、今後も脆弱なままです。Limit Breakは新バージョン（V3）をApeChainを除くすべてのチェーンで一時停止しましたが、ApeChainでは2026年11月30日まで引き続き使用できます。いずれかのチェーンでPayment Processorを承認したことがある方は、WETHなどのトークン承認も含めて、今すぐ承認を取り消してください。承認を取り消すことでウォレットに残っている資産は守られますが、すでに奪われた資産が戻ってくるわけではありません。この記事は、新たな情報が判明し次第更新されます。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。