Magic Eden / Limit Break Hack

Payment Processorは、Limit Breakが開発したNFT取引プロトコルです。Magic Edenは2024年にマーケットプレイスでの取引にこれを使用していたため、多くのユーザーが、NFTやWETHなどのトークンを移動できるようこのプロトコルを承認しました。Magic Edenは2024年10月に使用を停止しましたが、それらの承認は有効なまま残りました。2026年9月24日、攻撃者は、このプロトコルを承認したあらゆるウォレットに代わって操作できる欠陥の悪用を始めました。攻撃者はこれを使って、NFTを無償で奪ったり、ウォレットに価値のないNFTを強制的に購入させて、承認されたトークンを抜き取ったりしました。攻撃に必要なのは承認だけなので、出品をキャンセルしても身を守ることはできません。

盗難の大半は最初の2日間に発生し、その後も数週間にわたって小規模な盗難が続きました。攻撃者は合計で、主にEthereum、Polygon、Base上で、約622 WETHと少額のその他のトークン（約170万ドル相当）を抜き取り、少なくとも250万ドル相当のNFTを奪いました。被害を抑えるため、Yuga Labsの0xQuitを中心とするセキュリティ研究者たちが同じ欠陥を利用して、2回にわたる救出作業で20万点を超えるNFTを安全な保管先へ移しました。それ以降、所有者たちは承認を取り消したうえで、そのうち400万ドル相当を超えるNFTを取り戻しています。

盗まれた資金の一部も戻ってきています。最初のWETH盗難に先回りしたアービトラージボットは、奪った分の90%を返還すると申し出ました。2026年10月までに約140 ETHを返しており、まだ請求していない所有者のためにさらに100 ETH以上を保管しています。また、一部の攻撃者もNFTを返却しました。これにより、被害額は約340万ドルとなっています。Payment Processor V2は一時停止も修正もできず、Limit BreakはV3をApeChainを除くすべてのチェーンで一時停止しましたが、ApeChainでは2026年11月30日まで引き続き使用できます。いずれかのチェーンでPayment Processorを承認したことがある方は、WETHなどのトークン承認も含めて、今すぐ承認を取り消してください。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。