『メイプルストーリーユニバース』不正アクセス発生——オンチェーン資産は無事もウォレットとIP・メール一部が閲覧、13日にサーバー再開

「資産は無事。ただし、あなたの素性は一部知られたかもしれない」——Nexon系の大型ブロックチェーンゲーム『MapleStory Universe（メイプルストーリーユニバース）』で発生した不正アクセスの影響範囲は、まさにその一言に集約される。運営のNEXPACEは、オフチェーンサーバーインフラの一部への不正な外部アクセスを確認したと公式Xで発表した。公式によると、ブロックチェーンとスマートコントラクトへの影響は確認されておらず、資産の移転・盗難もない。ユーザーのウォレット秘密鍵はMSUのシステムに保存されておらず、今回閲覧されたデータには含まれない。一方、2026年11月5日8時26分（日本時間）以降の記録のうち、一部ユーザーのウォレットアドレス、ニックネーム、IPアドレス、最終アクセスの国・都市、メールアドレスの先頭12文字、連携SNS情報などが閲覧された。全サービスは11月12日13時43分（日本時間）から緊急メンテナンスに入り、公式Xでの詳細発表は13日2時12分。その後、MSUのKeith氏（@nexpacetime）が13日6時42分にサーバーの正式再開を報告した。公式サイトでは各サービスを同日6時40分に完了とする一方、OpenAPIは来週再開予定でメンテナンスが続いている。

NEXPACEは公式X（@MaplestoryU）で、オフチェーンサーバーインフラの一部への不正な外部アクセスを確認したと発表した。発表は2026年11月13日2時12分（日本時間）。不正アクセスの確認は12日で、同日13時43分（日本時間）から全サービスをメンテナンスにしたとしている。調査を優先したため発表が遅れたと謝罪している。公式サイトの臨時メンテナンス告知では開始を同日13時5分（日本時間）と案内していた。

重要なのは、今回の不正アクセスがオフチェーン側に限定されていたと公式が説明している点だ。公式によると、ブロックチェーンとスマートコントラクトへの影響は確認されていない。オンチェーン記録と運営ウォレットを確認した結果、今回の件で資産が移動・盗難された事実はなく、スマートコントラクトの権限設定にも変更はないという。トークン供給量はオンチェーンで確認できるとしている。

ユーザーのウォレット秘密鍵は本人だけが保持し、MSUのシステムには送信・保存されないため、今回閲覧されたデータには含まれない。資産を動かせる運営用の秘密鍵は暗号化して保管されており、復号に必要な鍵管理システムへのアクセス試行はすべて遮断され、運営鍵の露出もないという。公式は予防策として、サービス再開前に運営鍵をすべて新しいものへ置き換える方針も示していた。
その後、公式サイトではゲームなどを含む各サービスを11月13日6時40分（日本時間）にメンテナンス完了とし、Keith氏が同日6時42分にサーバーの正式再開を報告した。ただしOpenAPIは来週の再開予定で、現在もメンテナンス中としている。ゲーム面では、Chaos Gloomの入場を制限し（本開催と初回クリア挑戦は週末に再開予定）、ダウン時に減ったデイリーボス入場回数は復元した。メンテナンス補償は後日案内するとしている。

一方で、閲覧された情報の内訳は軽視できない。調査は継続中で、範囲は今後変わる可能性がある。公式が現時点で確認したのは、2026年11月5日8時26分（日本時間）以降の記録のうち、一部ユーザーについて以下が閲覧された、という内容だ。該当する項目は、その期間の利用状況や、メール・SNS連携の登録有無によって異なる。

・アカウント情報：ウォレットアドレス、ニックネーム、プロフィール画像、登録日時と最終ログイン日時、最終アクセスの国・都市
・ログイン履歴：ログイン日時、IPアドレス、国・都市、端末・ブラウザ情報、セッションキー
・メールアドレスの先頭12文字
・連携したソーシャルアカウントの種類（Discordなど）、ユーザー名、ユーザーID
・OpenAPI利用記録（ウォレットアドレス、IP、アプリID、APIパス、リクエストとレスポンスの内容）
・ショップ利用規約への同意記録
・取引・サービス利用記録（トークン送金、マーケット取引、通知、ゲーム内のアイテム・通貨・キャラクター変更と、それに紐づくウォレットアドレス）

実名、電話番号、住所、KYC情報、決済カード情報は、現時点で閲覧が確認された記録には含まれていない。メール登録があり、影響の可能性があるユーザーには、別途メールで連絡するとしている。

さらに、Builder Centerに登録された328アプリの情報（ビルダーのウォレットアドレス、ニックネーム、APIキー、OAuthクライアントID）も閲覧された。公式は、露出したAPIキーでは資産に影響を与えられないと確認したとしたうえで、キーの再発行を支援し、案内を別途共有すると説明している。

個々のデータ単体では致命的ではないが、組み合わさった瞬間に意味合いが変わる。公式は、これらの記録によってウォレットアドレスとニックネーム、IPアドレス、おおよその所在地（国・都市）、端末情報が結びつき、一部ユーザーではメールの一部や連携SNSとも結びつくと説明している。それを手にした者が、ウォレットの公開オンチェーン活動とこれらの情報をつなげられる点に注意を促している。

ウォレットアドレスとメールアドレスの一部が結びついた攻撃者にとって、次のステップは明確だ。「MapleStory Universe運営」や「NEXPACEセキュリティチーム」を装ったフィッシングメールを、該当アドレス宛てにピンポイントで送りつけるシナリオである。

「不正アクセスの影響確認のため、こちらから再ログインしてください」——そんな一見もっともらしい文面と、本物そっくりの偽サイトを組み合わせれば、ウォレット接続や署名を誘導する罠が完成する。今回の件を“逆手に取った”攻撃は、間違いなく増える。

プレイヤーが今やるべきことは、次のとおりだ。

・公式X（@MaplestoryU、@nexpacetime）および公式サイトでのみ告知を確認する
・メール内リンクから直接ログインやウォレット接続を行わない
・不審なトランザクションや署名要求には絶対に署名しない
・Builder Center利用者は、公式の案内に従ってAPIキーの再発行を行う
・ウォレットソフトやブラウザ拡張の権限を見直す

公式は、現時点の確認ではウォレットの変更や資産の移動は不要としている。MSUが秘密鍵やシードフレーズを要求することはない。秘密鍵を盗まれたわけではない以上、プレイヤー側の落ち着いた対応が被害を最小化する最大のポイントになる。

今回の発表の直前には、一部のソーシャルログイン（Web3Auth）障害や、NXPCの大量バーンが相次いで報じられていた。ただし公式は、これらと今回のオフチェーン不正アクセスとの関係を説明していない。Web3Authのログイン障害は、11月7日時点の公式告知では解消済みとされていたが、Keith氏はサーバー再開後の13日7時18分（日本時間）に「Web3Authログインも復旧した」と改めて報告し、障害分と今回のメンテナンス遅延分の補償を別途案内すると述べている。

トークン側では、NXPCの大量バーンが発表されたことで需給面への期待が一部で広がっていた一方、今回の不正アクセス公表はエコシステム全体の信頼度に影を落としかねない。「資産は無事」という事実をユーザーにいかに腹落ちさせられるか、再開後の運営姿勢と情報開示の丁寧さが、NXPCの中長期的な評価を左右することになる。

Nexon系の大型IPが手掛けるブロックチェーンゲームとして、『MapleStory Universe』は多くのBCGプレイヤーに注目されてきたタイトルだ。今回のインシデント対応は、国内外のWeb3ゲームプロジェクトにとって「オンチェーンとオフチェーンを分離する設計の重要性」を改めて示す事例にもなっている。

オンチェーン資産の移転・盗難は確認されず、ユーザーの秘密鍵や運営鍵の流出もないと公式は説明している。一方、ウォレットアドレスとIP・メール一部・SNSなどの紐付けは、今後のフィッシングに使われうるタイプのダメージだ。調査は継続中で、閲覧された情報の範囲は変わる可能性がある。プレイヤーに必要なのは、派手な資産流出ニュースを追う感覚ではなく、「自分の素性が一部知られた前提で動く」冷静さだろう。サーバーは13日に再開した（OpenAPIは継続中）。NEXPACEがどこまで透明性ある説明を続けられるか——そこがNXPCとエコシステム全体の信頼回復の分水嶺となる。

MapleStory Universe 公式X（インシデント発表）：https://x.com/MaplestoryU/status/2120927819786309872
Keith氏（@nexpacetime）公式X（サーバー再開）：https://x.com/nexpacetime/status/2120995602809208921
MapleStory Universe 公式サイト（11/12臨時メンテナンス）：https://msu.io/notices/3580067
MapleStory Universe 公式サイト：https://msu.io/