発行権限を奪われた1か月後に、新タイトルを世界170カ国へ ── Web3ゲームの復旧速度と発行体責任

何が発表されたのか

「突撃！悪魔団」は、WEMADEグループのLightConが開発し、2025年7月にグローバル市場へ公開されたローグライク・ディフェンスジャンルのカジュアルゲームである。今回提供されるのは、その既存版にブロックチェーン技術を結合した新バージョンで、WEMIX PLAY経由で配信される。事前登録では、累積予約人数の達成イベントや友達招待イベントを通じてAMBERトークンやPLAYトークンが付与される。

注目すべきは、リリースがこれらのトークンをどう説明しているかである。付与されたトークンは「WEMIX PLAYウェブショップ内の専用ストアで、多様なアイテムの購入に使用することができる」と記されている。価格、換金性、投資性への言及は一切ない。用途をプラットフォーム内の購買に限定した、意図的に慎重な書きぶりだ。

発表に書かれていないこと

このリリースは、直近に起きた重大な事実に一切触れていない。2026年7月26日18時17分（日本時間）、WEMIX3.0上でドル連動ステーブルコイン「WEMIX$」に関連するスマートコントラクトのオーナー権限が侵害され、522万5,525WEMIX$が不正に発行された。WEMIX3.0のホワイトペーパーによれば、WEMIX$はトレジャリーが保有するUSDCによって100％裏付けられ、発行は安定化プロトコル「DIOS」を通じた経路のみに許可される設計だった。攻撃はその意図された発行経路の外側でトークンを生成している。

不正発行分は、ネイティブトークンWEMIX約3万736枚とブリッジ版ステーブルコインUSDC.e約72万4,198枚に交換され、イーサリアムおよびBNBスマートチェーンへ移された後、ETHやUSDTへ分散され、一部は中央集権型取引所へ入金された。WEMIX側はWEMIX3.0に接続する全ブリッジ、Chainlink CCIP、PLAY Bridgeを停止し、NFTマーケットプレイスの取引・入札も止めた。全サービスの復旧は8月18日である。発生から復旧まで23日、復旧から今回の事前登録開始まで9日だった。

同じ層で、同じ失敗が起きている

技術的な構図に注目したい。奪われたのは秘密鍵でもコンセンサスでもなく、スマートコントラクトのオーナー権限である。攻撃者は正規の発行者であるかのように振る舞える立場を獲得した。これは、8月にステーブルコインカード基盤Rainで発生し提携先の利用者残高が流出した事案と、本質的に同じ失敗である。あちらでも攻撃者は担保口座に自ら管理者権限を付与していた。

ブロックチェーンの合意形成は破られていない。破られているのは、その上に置かれた権限管理の層である。2026年夏に起きた二つの事案が示すのは、この層こそが現在最も脆弱な標的になっているという事実だ。

「トークンを配る」設計が、日本では変質する

日本の事業者にとって、より構造的な論点がある。2026年7月15日、暗号資産の規制の中心を資金決済法から金融商品取引法へ移管する改正法が成立した。公布から1年以内の施行とされ、2027年中の新制度導入が見込まれている。この改正では「特定暗号資産発行者」に金商法上の開示主体としての責任が課され、新規発行時だけでなく、発行者やその密接関係者が保有済みトークンを市場で売却して資金を得る場合も、原則として情報公表規制の対象となる。

事前登録の報酬としてトークンを配る手法は、これまでマーケティング施策として扱われてきた。しかし配布したトークンが市場で価格を持ち、発行体が保有分を売却する構造を伴えば、それは発行体としての開示責任を帯びる可能性がある。今回のリリースがトークンの用途をプラットフォーム内の購買に限定して記述しているのは、この方向の規制強化を織り込んだ表現とも読める。

経営層への含意

WEMADEは2000年設立の韓国KOSDAQ上場企業（証券コード112040）であり、日本法人のWemade Japanは2004年3月設立、資本金9,740万円である。上場企業グループが運営する基盤であっても、発行権限の侵害から1か月余で新規タイトルの募集を開始する。この速度がゲーム業界の標準であり、金融業界の標準ではない。

【事業開発に関するインサイト】

1. インシデント後の意思決定速度は、業界文化によって桁が違う。今回の事案では発生から23日で全復旧し、その9日後に新タイトルの募集が始まった。金融機関であれば、原因の技術的報告、再発防止策の公表、当局への報告が完了するまで新商品の販売開始は考えにくい。同じステーブルコインという言葉を使っていても、事業者の属する業界によってインシデント対応の作法はこれほど異なる。Web3事業者との提携を検討する際は、技術力や利用者数と並んで「事故後にどう振る舞う会社か」を評価軸に加えるべきである。
2. トークンの用途をクローズドループに限定できるかが、規制コストを分ける。プラットフォーム内の購買にしか使えないトークンと、外部市場で価格を持つトークンとでは、2027年に施行が見込まれる改正金商法の下での位置づけが大きく異なる可能性がある。ポイント経済圏やデジタル特典の設計を検討する事業者は、換金性と外部流通性を最初に設計変数として固定し、後から緩める前提で商品を組むべきである。逆方向、つまり流通させてから閉じる方向の変更は、既存保有者の期待を裏切るため事実上不可能になる。
3. 事前登録トークンは、顧客獲得コストの変動費化である。友達招待や累積予約人数の達成でトークンを配る仕組みは、本来は法定通貨で支払う広告費を、自社が発行するトークンで代替している。この構造では獲得単価が将来のトークン価格に連動し、成功すればするほどコストが膨らむ、あるいは価格下落時には報酬の訴求力が失われるという非対称が生じる。同種の設計を検討する場合、この変動費をどう見積もり、会計上どう引き当てるかを、施策の設計段階で財務部門と詰めておく必要がある。

【引用：出典】

株式会社Weｍade Japan「Wemade、カジュアルディフェンス『突撃！悪魔団』のWeb3版を9月正式リリースに向けて事前登録開始！」（PR TIMES、2026年8月27日）https://prtimes.jp/main/html/rd/p/000000339.000056498.html あたらしい経済「ウィメイド、『突撃！悪魔団』にブロックチェーン導入、WEMIX PLAYで事前登録開始」（2026年8月28日）https://www.neweconomy.jp/posts/603536 あたらしい経済「ウィミックスのステーブルコイン『WEMIX$』、約522万枚が不正発行」（2026年7月28日）https://www.neweconomy.jp/posts/595529 CRYPTO TIMES「韓国発ステーブルコイン522万枚、不正発行の被害｜損失未公表」（2026年7月28日）https://crypto-times.jp/news-5-22-million-south-korean-origin-stablecoins-illicitly-issued/ WEMIX PLAY公式サイト https://wemixplay.com/ 「突撃！悪魔団」事前登録ページ https://event.wemixplay.com/hellsquadrrrush PwC Japanグループ「暗号資産に係る2026年金商法等改正法の成立　金融法務ニュースレター（2026年7月）」https://www.pwc.com/jp/ja/knowledge/news/legal-news/legal-20260728-4.html So & Sato「2026年金商法等改正案に基づく暗号資産に係る規制の見直しの概要と実務への影響」（2026年7月）https://innovationlaw.jp/crypto-fiea-amendment-2026/ 日本経済新聞「仮想通貨を金商法で規制　改正法成立、市場健全化で利用者保護に力点」（2026年7月15日）https://www.nikkei.com/article/DGXZQOUB147UL0U6A710C2000000/ CoinPost「Aviciのカード残高から約50万ドル流出、Triaも被害　全額補償を約束」（2026年8月29日）https://coinpost.jp/?p=734151