ホワイトハットがLimit Breakの決済処理コントラクトの脆弱性から23,155点のNFTを退避、660 WETHは回収できず
ホワイトハットの作戦で、Limit BreakのPayment Processor V2への承認が残っていたウォレットから、570万ドル超に相当する23,155点のNFTが退避された。Magic Edenは、180万ドル相当のwETHが持ち出されたとしている。
この出来事を読む言語 English, português (Brasil), français, 한국어, русский, Türkçe, 中文（中国）
なぜ重要か
今回の悪用は、マーケットプレイスの閉鎖が未完了の課題を残すことを示している。製品を閉じても、ユーザーが付与したオンチェーン上の許可は取り消されないため、Magic EdenのEVMマーケットプレイスで取引したユーザーは、今もそのリスクを抱えていた。損失額の推計は情報源ごとに異なり、攻撃者が持ち出した額の最終的な数字はまだ公表されていない。
情報源が食い違う点
攻撃者が盗んだ額
roughly $1.8 million in wETH extracted
Bitcoin Insider
660 WETH could not be recovered
Decrypt, Bitcoin.com News
how many NFTs, if any, malicious actors took is not established
CryptoSlate
Bitcoin Insiderは、Magic Edenを引用し、持ち出されたwETHを約180万ドルとした。一方、DecryptとBitcoin.comはいずれも、救出をすり抜けた660 WETHがあると報じている。Revoke.cashは、悪意ある者が何点のNFTを持ち出したかを確定していなかった。
最初に報告された移転群の規模
23,155 NFTs rescued, worth more than $5.7 million
Decrypt, Bitcoin.com News, Bitcoinist
3,832 NFTs moved as zero ETH sales per the Revoke.cash notice
CryptoSlate, Bitcoin.com News
DecryptとBitcoin.comは23,155点のNFTの救出を報じているが、同日のRevoke.cashの通知は3,832点のNFTと数えている。Revoke.cashの数字は、その通知で報告された移転のみを対象としている。
Magic EdenがEVMマーケットプレイスのサポートを終了した日付
Ethereum, Polygon and Base
Decrypt
Ethereum and ApeChain
CryptoSlate
CryptoSlateはEVMサポートの終了を2026年3月9日としているが、Decryptは、EVMマーケットプレイスが2026年初めに完全に閉鎖されたと伝えている。
整合しない数値
報道中の数値を自動比較して見つけたもの。差異ではあるが、同じ対象についてかどうかはまだ確認されていない。
報告された価値
$5.7 million
Decrypt
$1 million
Crypto.News
Decryptは570万ドルと報じ、Crypto.Newsは100万ドルと報じている(82%の開き)。
報告された価値
$5.7 million
Bitcoin.com News
$1 million
Crypto.News
Bitcoin.com Newsは570万ドルと報じ、Crypto.Newsは100万ドルと報じている(82%の開き)。
報告された価値
$1 million
Crypto.News
$5.7 million
Bitcoinist
Crypto.Newsは100万ドルと報じ、Bitcoinistは570万ドルと報じている(82%の開き)。
報告された価値
$1 million
Crypto.News
$5.7 million
Bitcoin Insider
Crypto.Newsは100万ドルと報じ、Bitcoin Insiderは570万ドルと報じている(82%の開き)。
持ち出された額(悪用の影響)
$5.7
Bitcoinist
$1.8
Bitcoin Insider
Bitcoinistは5.7と報じ、Bitcoin Insiderは1.8と報じている(68%の開き)。
要点
Limit BreakのPayment Processor V2の脆弱性により、ホワイトハットの作戦は、承認済みのウォレットから570万ドル超と評価される23,155点のNFTを移動できた。
23,155 NFTs争いのある数値報道 Decrypt
Yuga LabsのVP of Blockchainである0xQuitは、ウォレット0x71cFの資産は安全であり、危険にさらされなくなった時点で返却すると述べた。
NFT追跡サービスのCirrusは9月25日、3,832点のNFTが数百のウォレットから単一のアドレスへ、0 ETHのMagic Eden上の販売とみられる形で移動したことを受けて警告を出した。
3,832 NFTs争いのある数値報道 Bitcoin.com News
Magic Edenは、2024年2月ごろから10月ごろにかけて同社のEVMマーケットプレイスに出品されたNFTが、V2コントラクトに残る承認を通じて危険にさらされる可能性があると述べた。
報道 Decrypt
Magic Edenは2024年に取引の決済にPayment Processor V2を採用し、同年10月に使用をやめ、2026年初めにEVMマーケットプレイスを閉鎖した。
報道 Decrypt
Magic Edenは、今回の悪用で有効なMagic Edenの出品に影響はなかったと述べた。
報道 Decrypt
Magic Edenは、EVMマーケットプレイスで出品または取引したユーザーに対し、Revoke.cashを通じてEthereum、Polygon、BaseでV2コントラクトの承認を取り消すよう促し、取り消してもすでに移動したトークンは戻らないと注意を呼びかけた。
報道 Decrypt
0xQuitによると、救出作業では約660 WETHを回収できなかった。
660 WETH争いのある数値報道 Decrypt
何があったか
Limit BreakのPayment Processor V2の欠陥により、コントラクトへの許可を取り消していなかったウォレットから、誰でもNFTを移動できる状態になっていた。ホワイトハットの作戦は、攻撃者が到達する前に、これらのウォレットから570万ドル超に相当する23,155点のNFTを移した。救出された資産を保有するアドレスの持ち主で、Yuga LabsのVP of Blockchainである0xQuitは9月25日、ウォレット0x71cFにあるものはすべて安全で、保有者が危険にさらされなくなった時点で返却すると述べた。NFT追跡サービスのCirrusは、3,832点のNFTが0 ETHのMagic Eden上の販売とみられる形で単一のウォレットに移動するのを確認し、最初に警告を発した。Revoke.cashは後に、これを自社の通知で報告された移転として数えた。Magic Edenは、リスクの源は2024年2月ごろから10月ごろにかけての同社EVMマーケットプレイスへの出品にあると説明した。この期間、同マーケットプレイスはV2コントラクトを通じて取引を決済していた。同社は同年10月にこのコントラクトの使用をやめ、2026年3月にEVMマーケットプレイスを完全に閉鎖した。Magic Edenは、有効な出品に影響はなく、現在も問題となっているのは閉鎖したマーケットプレイスではなく古い承認だと述べ、Ethereum、Polygon、BaseでV2の許可を取り消すようユーザーに呼びかけた。ただし、取り消してもすでに移動したトークンは戻らないとしている。Bitcoinistは、被害にMeebits、Otherdeeds、World of Womenなどのコレクションが含まれたと報じた。Bitcoin Insiderは、Magic Edenを引用し、wETHの損失を約180万ドルとした。DecryptとBitcoin.comはいずれも、回収できなかった660 WETHがあると報じている。Revoke.cashは、悪意ある者が実際に何点のNFTを持ち出したかを確定していなかった。
経過
- 更新
Cirrusが、3,832点のNFTが0 ETHのMagic Eden販売として単一のウォレットに移動するのを確認
The transfer cluster looked like theft onchain until 0xQuit identified the address as a whitehat rescue wallet.
- 公式発表
Magic Edenが、V2に残る承認について警告し、復旧の案内を公表
The marketplace said no live listings were affected and pointed users to Revoke.cash to revoke the contract's permissions on Ethereum, Polygon and Base.
- 更新
0xQuitが、救出対象は570万ドル超に相当する23,155点のNFTだと説明
0xQuit said everything in wallet 0x71cF is safe and will be returned once holders are no longer at risk, and that 660 WETH slipped through.
- 更新
Revoke.cashの通知で、危険にさらされた移転について2つ目の集計が示される
The wallet security service reported 3,832 NFTs moved as zero ETH sales and said it could not determine how many NFTs attackers actually took.
- 初報
初報：Decrypt
Magic Eden Warns Old Ethereum NFT Listings Are Exposed to Payment Processor Exploit
- 独立した裏付け
CryptoSlateが独立して裏付け
Old Magic Eden NFT approvals put users at risk after whitehat moves 3,832 NFTs
- 公式発表
Bitcoin.com Newsによる公式発表
White Hats Swipe $5.7M in NFTs Before Attackers Get Their Shot
- 更新
Magic Edenが、約180万ドル相当のwETHが抜き取られたことを確認
Bitcoin Insider, citing the marketplace, put the wETH loss at about $1.8 million and said eligible users can now check whether their assets were part of the rescue.
- 更新
Bitcoinistが、最初の盗難で被害を受けたコレクション名を報道
Collections including Meebits, Otherdeeds and World of Women were listed among the assets taken.
報道の広がり
時間軸上の独立した情報源。数え方は一致の欄と同じで、通信社記事の転載では線は動かない。
- 2026年9月25日 16:17 UTC: Decrypt — 独立した情報源1件, 報道1件
- 2026年9月25日 18:00 UTC: CryptoSlate — 独立した情報源2件, 報道2件
- 2026年9月25日 19:10 UTC: Bitcoin.com News, 一次情報 — 独立した情報源3件, 報道3件
- 2026年9月26日 06:36 UTC: Crypto.News — 独立した情報源4件, 報道4件
- 2026年9月27日 01:30 UTC: Bitcoinist — 独立した情報源5件, 報道5件
- 2026年9月27日 01:53 UTC: Bitcoin Insider — 独立した情報源6件, 報道6件
関係する主体
ほかに言及：USD Coin, BNB
元の情報源
| 媒体 | 記事 | 役割 | 公開 |
|---|---|---|---|
| Bitcoin.com News 企業, 一次情報 | White Hats Swipe $5.7M in NFTs Before Attackers Get Their Shot | 独立 | |
| Decrypt 暗号資産メディア | Magic Eden Warns Old Ethereum NFT Listings Are Exposed to Payment Processor Exploit | 初報 | |
| CryptoSlate 暗号資産メディア | Old Magic Eden NFT approvals put users at risk after whitehat moves 3,832 NFTs | 独立 | |
| Crypto.News 暗号資産メディア | NFT sales rise 57.17% to $55.5M as Ethereum leads | 独立 | |
| Bitcoinist 暗号資産メディア | Magic Eden Says Legacy Approvals Exposed $5.7M In NFTs To Exploit | 独立 | |
| Bitcoin Insider アグリゲーター | Magic Eden Details Recovery Steps After Legacy Approval Exploit Drains $1.8M in wETH | 転載 |
