revoke.cashの使い方｜Magic Eden旧承認の悪用で約9億円相当のNFTが危険に、ウォレットの「承認の取り消し」手順【2026年9月最新】

本記事はアフィリエイト広告（PR）を含みます（広告ポリシー・評価の方法）

本記事にはアフィリエイト広告（Hyperliquid・Aster・edgeXの招待リンク）が含まれます。

「Magic EdenでNFTを出品したことがあるけど、自分も危ない？」「revoke.cashって何をするサイト？」「承認の取り消しはどこを押せばいい？」

2026年9月24〜25日、NFTマーケットプレイスMagic Eden（マジックエデン）が2024年にEVMチェーンの取引で使っていた、Limit Break社の取引用コントラクト「Payment Processor V2」の欠陥が悪用されました。Magic Edenがこのコントラクトの利用をやめたのは2024年10月ですが、当時ユーザーが出した「承認（approve）」がウォレットに残ったままだったため、約2年後に資産を抜き取られる事態になりました。

この記事では、Magic Eden公式Xの発表、救出にあたった0xQuit氏の投稿、revoke.cashの事件ページ、各チェーンのブロックチェーンデータといった一次情報をもとに、「何が起きたか」「自分が影響を受けるか」「revoke.cashで承認を取り消す手順」「PerpDEXやDeFiを使う人の承認の管理」を順に説明します。

手順だけ知りたい人は「revoke.cashで承認を確認・取り消す手順」へ。スマホだけで取り消す手順は「スマホだけで取り消すには」にまとめています。

何があった？Magic Edenの古い承認が悪用、ホワイトハッカーが23,155点を救出

今回の件は、Magic Eden自体がハッキングされたのではなく、Magic Edenが2024年に使っていたLimit Break社のコントラクトの欠陥が、残っていた「承認」を通じて悪用された事件です。Magic EdenのCEOで共同創業者のJack氏も、自身のXで「Magic Edenがハッキングされたのではなく、2年前に使うのをやめたLimit Breakのプロトコルの問題」と説明しています。

Magic Eden公式の発表（2026年9月25日）

Magic Edenは2026年9月25日19時44分（日本時間）、公式Xで中間報告を出しました。要点を日本語でまとめます。

Magic Edenは2024年にEVMの取引決済用としてLimit Break社の「Payment Processor V2」を採用し、2024年10月に利用をやめ、2026年第1四半期にEVMマーケット自体を終了した。現在出品中のMagic Edenの出品に影響はない。

2024年2月ごろ〜10月にMagic EdenのEVMマーケットで出品されたNFTが影響を受ける可能性がある。2024年10月以降の出品は影響を受けないはず。

EVMマーケットで出品・売買したことがある人は、revoke.cashでEthereumを選び、上記アドレスで絞り込んで、NFTの「approved for all」の行をすべて取り消す。PolygonとBaseでも同じことをする。取り消しても、すでに移動したトークンは戻らない。

出典：Magic Eden公式X（2026年9月25日）の内容を当サイトが日本語で要約

時系列：最初の悪用から救出まで約1日

最初の悪用の時刻は、0xQuit氏の「米東部時間の午前9時」という説明を日本時間に直したものです。

数字で見る被害と救出

0xQuit氏によると、660 WETH（約170万ドル）は救出が間に合いませんでした。これは、revoke.cashが集計した被害280万ドルの半分以上にあたります。NFTの大半は救出された一方、WETHなどトークンの承認からの流出は防ぎきれなかったことになります。

救出が間に合わなかった660 WETHについては、2026年9月27日4時30分時点で、Magic Eden・Limit Breakのどちらからも補償の発表はありません。

救出したのは誰？「ホワイトハッカー」の0xQuit氏

救出にあたったのは、Yuga Labs（Bored Ape Yacht Clubなどの運営）でブロックチェーン担当の副社長を務める0xQuit氏です。0xQuit氏はLimit Break社に連絡し、同じ欠陥を持つPayment Processor V3を止めてもらいました。一方、V2には一時停止の仕組みがなく、攻撃者より先に同じ手口でNFTを安全なウォレットへ移す「ホワイトハット作戦」しか守る方法がありませんでした。

Limit Breakも2026年9月26日12時17分（日本時間）に公式Xで声明を出し、V2は書き換えのできないコントラクトなので誰にも修正できないとして、V2・V3への承認を今すぐ取り消すよう呼びかけています。revoke.cashによると、Limit BreakはApeChain以外のすべてのチェーンでV3を一時停止しましたが、ApeChainのV3は2026年11月30日まで使える状態が続きます。

退避されたNFTは、0xQuit氏が公開した保管用ウォレット（0x71cF3f5724bD2B72Ef6464992aCd26216DE7fe33）にあります。0xQuit氏は「自分の許可なく資産が移動し、このアドレスにあるなら安全」と説明しています。

影響を受ける人・受けない人は？

結論から言うと、2024年2月〜10月ごろにMagic EdenのEVMマーケットでNFTを出品・売買した人と、WETHなどでオファーを出した人は、承認が残っていれば今も狙われます。下の表で自分に当てはまるものを確認してください。

なぜ「出品を取り消しても」防げないのか

revoke.cashの解説によると、この欠陥は、攻撃者が他人のウォレットを取引の相手方に見せかけられるものでした。本人の署名は必要なく、出品のキャンセルや署名の無効化では防げず、コントラクトへの「承認」があるかどうかだけで狙われます。

• NFTを承認していた人：攻撃者が自分で出した「0円のオファー」を、被害者の名前で受け入れさせ、NFTをただで持ち去る
• WETHなどを承認していた人：攻撃者が価値のないNFTを出品し、被害者に無理やり買わせる形で、承認していたトークンを抜き取る

Magic Eden以外で使った人・他のチェーンも対象になる

Magic Edenの案内はEthereum・Polygon・Baseの3つですが、revoke.cashの事件ページではArbitrum・ApeChainでも攻撃が確認されています。当サイトが各チェーンの公開データ（RPC）で調べたところ、V2・V3のコントラクトはEthereum・Polygon・Base・Arbitrumのすべてに同じアドレスで置かれていました（2026年9月26日2時確認）。V3はApeChainにもあります。さらに、BNB Chain・Optimism・AvalancheにもV2・V3が同じアドレスで置かれ、BerachainにはV3があります（同日確認）。

revoke.cashは「どのチェーンであれ、V2・V3に承認した人は取り消すべき」としています。Magic Edenを通したかどうかに関係なく、攻撃が確認された5つのチェーンはすべて確認するのが確実です。revoke.cashのチェッカーは、ほかにBNB Chain・Optimism・Avalanche・Berachain・Robinhood Chainの5チェーンも対象にしています。これらのチェーンを使ったことがあれば、同じく確認してください。

NFTが勝手に移動していた人は？偽の「返還サイト」に注意

保管用ウォレット（0x71cF…fe33）へ移動していたNFTは、0xQuit氏が2026年9月26日11時47分（日本時間）に公開した返還ページ（nftsaresafu.xyz）で受け取れます。先にPayment Processorへの承認を取り消してから請求する仕組みで、承認を残したまま返還されると同じ手口でまた盗まれるためです。0xQuit氏によると、9月27日2時ごろまでに約2,750点が持ち主に戻りました。

この返還ページは0xQuit氏個人が運営するもので、Magic EdenやLimit Breakの公式サイトではありません。別のホワイトハッカー（Jiri氏）が救出した約2,000点も、このページに追加される予定です（0xQuit氏のX）。また0xQuit氏は、本物のサイトでもMetaMaskのセキュリティ警告（Blockaid）が表示されることがあると説明しています。警告が出たときは、URLが「nftsaresafu.xyz」と1文字も違わないか、0xQuit氏の投稿のリンクから開いたかを必ず確かめてください。

0xQuit氏は「手動では返さないのでDMは不要」と書いています。XのDMやリプライで届く「返還はこちら」「補償の申請フォーム」といったリンクは、詐欺の可能性が高いので開かないでください。返還ページは、0xQuit氏本人のXの告知から開くのが安全です。検索結果や広告、似た綴りのURL（文字の入れ替えや別のドメイン）から開かないでください。

9月24日には取引所Bitgetでも大規模な流出が起きています。取引所に資産を置いている人はBitgetハッキングの詳細と日本居住者が今やることもあわせて確認してください。

revoke.cashで承認を確認・取り消す手順（Ethereum・Polygon・Base）

revoke.cashは、ウォレットのアドレスを入力するだけで承認の一覧を表示し、不要な承認をその場で取り消せる無料のサイトです。100以上のEVMチェーンに対応し、画面は日本語でも表示できます（revoke.cash/ja）。

始める前に準備するもの

Ethereumは、ガス価格0.51gwei（公開RPC）・1件3万〜5万gas・1ETH＝422,657円（CoinGecko）で試算（2026年9月26日2時28分）。他のチェーンも同じ時刻のガス価格で試算しています（BNB Chain・Optimism・Avalancheは9月26日3時18分に取得）。混雑すると何倍にもなるため、実際の金額はウォレットの確認画面で確かめてください。

• 対象のウォレット：Magic Edenで使ったMetaMaskなど。アドレスを確認するだけならウォレットの接続は不要です
• 各チェーンのガス代：取り消しはブロックチェーンへの取引なので、チェーンごとにガス代の通貨が少し必要です。上の表のとおり、Ethereumでも執筆時点では1件10円前後でした

STEP1：まず「エクスプロイトチェッカー」で影響を確認する

revoke.cashには、既知の事件ごとに「自分のアドレスが影響を受けていないか」を調べるページがあります。今回の件は「Magic Eden / Limit Break Hack」のページで確認できます。

1. 上のリンクから事件ページを開く
2. ページ下部のチェッカーに、自分のウォレットアドレスを入力する（接続は不要）
3. チェーンを選んで確認する。無料版は1チェーンずつなので、Ethereum・Polygon・Base・Arbitrum・ApeChainを順に切り替える。BNB Chain・Optimism・Avalanche・Berachain・Robinhood Chainを使ったことがあれば、それらも確認する

「影響なし」と出たチェーンは取り消し不要です。影響があると出たら、STEP2以降で取り消します。

STEP2：ウォレットを接続してチェーンを選ぶ

1. revoke.cashを開き、画面右上の「ウォレットを接続する」を押して、Magic Edenで使ったウォレットを接続する
2. 承認の一覧が表示されたら、ネットワーク（チェーン）の選択欄でEthereumを選ぶ

接続の画面では「接続」を承認するだけで、ガス代はかかりません。revoke.cashがシードフレーズ（復元用の12〜24語）や秘密鍵の入力を求めることはありません。入力を求められたら偽サイトなので、すぐに閉じてください。

STEP3：Payment Processorのアドレスで絞り込む

1. 一覧の上にある検索欄（承認先＝spenderのアドレスで探す欄）に、V2のアドレス 0x9A1D00bEd7CD04BCDA516d721A596eb22Aac6834 を貼り付ける
2. NFTのコレクションごとに「approved for all（すべてを承認）」と表示された行が出てくる。これが今回狙われた承認
3. WETHなどのトークンの行が出てきた場合も、同じく取り消し対象
4. 続けてV3のアドレス 0x9a1D00000000fC540e2000560054812452eB5366 でも検索する

Etherscanでは、このアドレスに「Limit Break: Payment Processor (V2)」という名前が付いています。見慣れない名前が出たら、アドレスを1文字ずつ照合してください。

STEP4：「取り消し」を押してウォレットで確定する

1. 取り消したい行の右端にある「取り消し（Revoke）」ボタンを押す
2. ウォレットに確認画面が出る。「set approval for all」や「approve」と表示されても正常（取り消しは、承認と同じ関数を「false」や「0」で呼び出すため）
3. ガス代を確認して承認（確定）する
4. 取引が完了すると、一覧からその行が消える

確認画面の文言にとまどう人が多いですが、revoke.cashのFAQでも「取り消しでも『承認』と表示されるのは仕組み上の正常な動き」と説明されています。MetaMaskでは、NFTの場合は「データ」タブで、値が「false」になっていることを確かめられます。

STEP5：Polygon・Base・Arbitrum・ApeChainなど他のチェーンでも繰り返す

承認はチェーンごとに別々に存在するため、Ethereumで取り消しても、Polygonの承認は残ったままです。チェーン選択欄でPolygon → Base → Arbitrum → ApeChainと切り替え、STEP3〜4を繰り返します。BNB Chain・Optimism・Avalanche・Berachain・Robinhood Chainを使ったことがある人は、これらのチェーンでも同じ手順で確認してください。

スマホだけで取り消すには

MetaMaskなどのウォレットアプリには、アプリ内ブラウザがあります。パソコンがなくても、次の5ステップで取り消せます。

1. MetaMaskアプリを開き、画面下の「ブラウザ」タブを押す
2. アドレス欄に revoke.cash と自分で入力して開く（検索結果の広告やDMのリンクから開かない）
3. 右上の「ウォレットを接続」（英語表示では Connect Wallet）でMetaMaskを接続し、チェーン（Ethereum・Polygon・Baseなど）を選ぶ
4. 一覧から、使っていないサービスや身に覚えのない承認の行で「Revoke（取り消し）」を押す
5. MetaMaskの確認画面でガス代を見て「確認」を押す。チェーンを切り替えて同じことを繰り返す

Phantomやほかのウォレットアプリも、アプリ内ブラウザから同じ手順で使えます。URLは「revoke.cash」と自分で入力するか、ブックマークから開くようにしてください。

revoke.cash以外の方法：Etherscanの承認チェッカー

ブロックエクスプローラーのEtherscanにも「Token Approvals（トークン承認）」のページがあり、同じように取り消せます。PolygonならPolygonscan、BaseならBasescanと、チェーンごとにサイトが分かれます。

初めてなら、日本語で使えて事件ページもあるrevoke.cashのほうが迷いにくいでしょう。

承認（approve）とは？放置すると何が起きる？

承認（approve）とは、自分のウォレットにあるトークンやNFTを、特定のコントラクトが動かしてよいと許可する設定です。DEXでの交換、レンディング、NFTの出品など、DeFiのほとんどの操作は最初に承認を求めます。

承認の種類は3つ

今回狙われたのは、表の1段目（WETHなど）と3段目（NFTの一括承認）です。

今回の事件の仕組み（図解）

放置するとどうなる？「使わなくなったサービス」が一番危ない

revoke.cashは、承認は取り消さない限り、ずっと有効なまま残ると説明しています。今回のように、運営が別の仕組みに移った後や、プロジェクト自体が放置された後にコントラクトの欠陥が見つかると、何年も前の承認から資産が抜かれます。

revoke.cashの事件一覧を見ると、2026年だけでも同じ型の被害が続いています。

• BarnBridge（2026年7月）：2023年に終了したDeFiの古いコントラクトを攻撃者が乗っ取り、承認が残っていたウォレットからUSDC約78万ドルを抜き取った
• Lien Finance（2026年7月）：放置された2020年ごろのDeFiで、承認していたUSDC約54万ドルが流出
• Magic Eden / Limit Break（2026年9月）：今回の件。利用停止から約2年後に悪用

よくある誤解：「接続解除」や「ハードウェアウォレット」では守れない

ただし、ETHを入れた瞬間に抜かれる状態（いわゆるスイーパーボット）になっている場合は、シードフレーズそのものが漏れています。この場合は取り消しでは守れないため、そのウォレットは使うのをやめ、新しいウォレットを作って残りの資産を移す必要があります（revoke.cash FAQ）。

PerpDEX・DeFiを使う人がやっておくべき承認の管理（Hyperliquid・Asterなど）

NFTを使っていない人にも、今回の件は他人事ではありません。PerpDEXやDeFiにウォレットをつないで入金した人は、入金に使ったチェーンでトークンの承認が残っていることがあるため、同じようにrevoke.cashで確認できます。

2026年9月24日に起きたBitgetのハッキング（約3億8,750万ドル）は、取引所のシステムへの不正侵入が原因で、承認の悪用とは仕組みが違います。こうした取引所側の事故は、利用者が自分で防ぐことはできません。一方、ウォレットの承認は自分で管理できるため、資産を取引所に置いたままにせず自分のウォレットで持つ人ほど、承認の点検が大事になります。

海外の取引所を使う場合の手数料や金融庁の警告の有無は、海外取引所ランキングで比べられます。

Hyperliquidの場合：EVMの承認とは別に「APIウォレット」がある

Hyperliquid（ハイパーリキッド）では、確認する場所が2つに分かれます。

Hyperliquidの公式ドキュメントによると、APIウォレットはメインのアカウントが「自分の代わりに署名してよい」と承認した別のウォレットで、期限切れや登録解除になることがあります。ボットや分析ツールにAPIウォレットを登録した人は、使わなくなったものが残っていないかAPI画面で確認しましょう。チャートや建玉を見るだけの外部ツールなら、APIウォレットを渡す必要はありません（TradingViewでHyperliquidの建玉・清算を見る方法）。

Hyperliquidの登録・入金・出金の流れはHyperliquidの始め方（画面付き）で説明しています。

これから始める人は、紹介コードHIDARIのリンクから開くと、Hyperliquid公式の紹介制度で取引手数料が4%割引になります（最初の取引量2,500万ドルまで）。Hyperliquidは金融庁の登録業者ではありません。

Aster・edgeXなど、ウォレット接続型のPerpDEX

Aster（アスター）やedgeX（エッジエックス）のように、ウォレットをつないでコントラクトにUSDTなどを入金する型のサービスでは、入金のときにウォレットで「承認」を求められることがあります。確認の手順はMagic Edenの場合と同じで、revoke.cashで入金に使ったチェーン（BNB Chain・Arbitrumなど）を選び、一覧を「新しい順」に並べると、最近出した承認から見られます。

• 今も使っているサービスの承認は、取り消すと次の入金で承認し直しになります。revoke.cashによれば、取り消しても預け入れ中・ステーキング中の資産には影響しません
• 使っていないサービスや、名前に見覚えのない承認先は取り消す
• 「無制限」の承認が気になる場合は、revoke.cashの鉛筆マークから、承認の量を必要な分だけに減らすこともできます

それぞれの使い方はAsterの始め方・使い方ガイド、edgeXの特徴・登録方法にまとめています。edgeXに入金できるチェーンと、入金が反映されない・出金できないときの対処は「edgeXの入金・出金方法」で説明しています。

公式サイトはAsterの紹介リンク・edgeXの紹介リンクから開けます（どちらも金融庁の登録業者ではありません）。

承認を増やさないための5つの習慣

1. 月に1回、revoke.cashで棚卸しする：使ったチェーンを順に開き、使っていないサービスの承認を取り消す。1チェーン数分で終わります
2. ウォレットを分ける：長期保有するNFTやトークンは、DeFiにつながない保管用のウォレットに置く。試しに使うサービスは別のウォレットで
3. 「無制限」の承認を避ける：ウォレットの確認画面で承認額を変えられる場合は、使う分だけにする
4. ガス代のかからない「署名」も慎重に：Permitと呼ばれる署名は、承認と同じ効果を持つことがあります（revoke.cashの解説）
5. 大きな事件が出たら、事件ページで確認する：revoke.cashのエクスプロイト一覧は、今回のように発生当日に更新されます

よくある質問

revoke.cashは安全？詐欺サイトではない？

revoke.cashは、2026年9月時点で利用者200万人以上、取り消された承認2,000万件以上（公式サイトの表示）の、承認管理で最も広く使われているサイトです。Magic Edenも今回の公式発表で、取り消しの方法としてrevoke.cashを案内しています。revoke.cashがシードフレーズや秘密鍵を求めることはありません。ただし、名前の似た偽サイトには注意し、URLは「revoke.cash」と自分で入力してください。

revoke.cashの利用料・ガス代はいくら？

revoke.cashの確認と1件ずつの取り消しは無料で、かかるのはブロックチェーンのガス代だけです。2026年9月26日2時時点の試算では、Ethereumで1件約7〜11円、Polygon・Base・Arbitrum・ApeChainは1円未満でした。まとめて取り消す「一括取り消し」は、無料版だと1回1.50ドルかかります。

承認を取り消すと、出品中のNFTはどうなる？

取り消した承認先を使うマーケットでの出品は、成立しなくなります（revoke.cash FAQ）。今回のPayment Processor V2は、Magic Edenが2024年10月に利用をやめ、EVMマーケットも2026年に終了しているため、取り消しで困ることはありません。

盗まれたNFTやWETHは、取り消せば戻ってくる？

戻りません。Magic Edenもrevoke.cashも「取り消しは、すでに移動した資産を戻さない」と明言しています。ただし0xQuit氏らが退避した23,155点のNFTは盗まれたものではなく、承認を取り消した後に、0xQuit氏の返還ページ（nftsaresafu.xyz）で受け取れます。

救出されたNFTは、いつ・どうやって返ってくる？

0xQuit氏が2026年9月26日に返還ページ（nftsaresafu.xyz）を公開し、すでに受け取れます。先にPayment Processorへの承認を取り消し、そのあと返還ページでウォレットを接続して請求する仕組みで、かかるのはガス代だけです（寄付は任意）。返還ページは0xQuit氏個人の運営で、Magic Eden・Limit Breakの公式ではありません。似たURLの偽サイトや、DMで届く返還リンクには注意してください。

救出できなかったWETHは補償される？

2026年9月27日4時30分時点で、救出が間に合わなかった660 WETHについて、Magic Eden・Limit Breakのどちらからも補償の発表はありません。Limit Breakは「調査を続けており、確認できた情報を共有する」としています。

Magic EdenのSolanaで出品した人も危ない？

今回の問題は、EthereumなどEVMチェーン上のLimit Break社のコントラクトの欠陥で、Magic Edenの発表もEVMマーケットに限った内容です。なお、revoke.cashの対応チェーンはEVMだけで、Solanaは一覧にありません（2026年9月26日確認）。

スマホだけで承認を取り消せる？

取り消せます。MetaMaskなどウォレットアプリ内のブラウザでrevoke.cashを開けば、パソコンと同じ手順です。

ウォレットの「接続解除」だけではだめ？

だめです。接続解除は、サイトからあなたのアドレスが見えなくなるだけで、承認はブロックチェーン上に残ります。承認そのものを取り消す必要があります。

ハードウェアウォレットを使っていれば大丈夫？

承認の悪用は防げません。攻撃者は秘密鍵を盗むのではなく、あなたが過去に出した承認を使うためです（revoke.cash FAQ）。ハードウェアウォレットでも、承認の取り消しは必要です。

承認は、どれを取り消せばいい？

今回の件では、Payment Processor V2・V3への承認をすべて取り消します。攻撃が確認されたEthereum・Polygon・Base・Arbitrum・ApeChainに加え、BNB Chain・Optimism・Avalanche・Berachain・Robinhood Chainも、使ったことがあれば確認してください。それ以外は、使っていないサービス、名前に見覚えのない承認先、「無制限」になっているものから優先して取り消すのがおすすめです。有名で今も使っているサービスの承認は、残しておいても使い勝手とのバランスで問題ない場合が多いとrevoke.cashは説明しています。

関連記事

• Bitgetハッキングで流出、出金はいつ再開？日本居住者が今やること
• 北朝鮮ハッカー「WaterPlum」が暗号資産ウォレット7千件を窃取
• Hyperliquid（ハイパーリキッド）の始め方｜登録・入金・取引・出金を画面付きで解説
• Aster（アスター）の始め方・使い方完全ガイド
• edgeX（エッジエックス）とは？特徴・登録方法・紹介コード
• Aave（アーベ）とは？仕組み・使い方・過去のトラブル

出典

• Magic Eden公式X：Payment Processor V2に関する中間報告（2026年9月25日）
• 0xQuit氏のX：救出の報告（2026年9月25日）／取り消すアドレス／返還ページの公開（2026年9月26日）
• Limit Break公式X：声明（2026年9月26日）
• revoke.cash：Magic Eden / Limit Break Hack
• revoke.cash：How to Revoke Token Approvals／FAQ
• Hyperliquid Docs：Nonces and API wallets
• The Block（2026年9月25日）／Decrypt（2026年9月25日）

本記事のデータは2026年9月27日4時30分（日本時間）時点です（ガス代の試算は9月26日）。新しい発表があれば追記します。