Magic EdenがイーサリアムのNFT市場を閉鎖してから数カ月が経過した後も、一部ユーザーが過去に決済処理コントラクトへ付与したNFTの移転権限が、ブロックチェーン上に残っていることが分かった。ウォレットセキュリティサービスのRevoke.cashは2026年9月25日、Limit BreakのPayment Processor V2に関連する問題を警告した。依然として同コントラクトに権限を与えているイーサリアムウォレットでは、所有者の許可なくNFTが移転される可能性がある。
セキュリティ研究者の0xQuitはその後、権限が残るウォレットから3,832枚のNFTを移転した。取引はいずれも、価格を0ETHとする売却形式で実行された。0xQuitは一連の操作をホワイトハットによる救出措置と説明し、対象資産は問題が処理されるまで保管用ウォレットで管理し、その後返還するとしている。一方、Revoke.cashは、3,832枚のうち何枚が安全確保を目的とした移転だったのかを確認しておらず、悪意ある攻撃者がすでに資産を移転したかどうかも判明していない。最終的な被害規模はなお不明だ。
Magic Edenの市場閉鎖後もオンチェーン権限は残存
Magic Edenは2026年3月9日、EVM市場のサポートを終了した。プラットフォーム上の出品やオファーはオフチェーンデータとして管理されており、市場閉鎖後はウェブサイト上で表示・執行されなくなった。ただし、ユーザーがPayment Processorに付与した操作権限は、ブロックチェーン上に独立して記録されるオンチェーンの承認だ。市場の運営が停止しても、この権限が自動的に取り消されることはない。
そのため、ユーザーがMagic Edenで数カ月取引していない場合や、過去の出品を取り消している場合でも、関連コントラクトにNFTの操作権限を与えたままであれば、ウォレットにリスクが残る可能性がある。現在のコントラクト承認状況を確認する必要があり、過去の取引履歴やウェブサイト上の出品状況だけでリスクが解消したと判断することはできない。
イーサリアムとApeChainで確認すべき権限が異なる
Revoke.cashは、イーサリアムネットワーク上でPayment Processor V2に与えた承認を確認し、不要であれば取り消すよう利用者に勧めている。また、過去にApeChain上でPayment Processor V3を承認したユーザーも、この権限を別途確認する必要がある。
NFT関連のオペレーター承認では、指定されたコントラクトがウォレットに代わってNFTを移転できる。こうした権限は、一度の取引が完了した後も、保有者が自ら取り消さない限り有効な状態が続くことがある。
Revoke.cashは、Magic Eden上の出品を取り消しても、ウォレットから関連コントラクトへの承認は解除されないと説明している。ウォレットとウェブサイトの接続を切るだけでも、すでにブロックチェーンへ記録された承認は変更されない。利用者は専用の脆弱性確認ツールで自分のアドレスが影響を受けているか確認し、該当する決済処理コントラクトに対して承認の取り消しを実行できる。
承認を取り消しても移転済みNFTは戻らない
承認の取り消しは、今後のNFT移転を止めるための措置であり、すでに移転されたNFTを回収するものではない。今回の警告が対象としているのは、上記のPayment Processorに対する承認であり、イーサリアムとApeChainの双方で悪意ある損失が発生したと確認されたことを意味するわけではない。
9月25日時点で、Revoke.cashはこの問題の技術的な詳細を公表しておらず、悪意ある攻撃者がNFTを取得したかどうかも確認していない。0xQuitが移転した3,832枚は、現時点で開示されている救出目的の移転数であり、最終的な被害枚数を示す数字ではない。旧来の承認を残している保有者について、現段階で確認できる対応は、関連コントラクトの権限を点検し、不要になった操作権限を速やかに取り消すことだ。