Кратко
- Magic Eden предупредила, что NFT, выставленные на её ныне закрытом EVM-маркетплейсе примерно с февраля по октябрь 2024 года, могли быть подвержены эксплойту в Payment Processor V2 от Limit Break.
- 0xQuit из Yuga Labs сообщил, что в ходе операции белой шляпы было спасено 23 155 NFT стоимостью более 5,7 млн долларов, но 660 WETH восстановить не удалось.
- Пользователям следует отозвать одобрения контракта в Ethereum, Polygon и Base. Отзыв не вернёт токены, которые уже были перемещены.
Magic Eden, возможно, и оставила Ethereum позади, но NFT некоторых её старых пользователей всё ещё оставались под угрозой.
В пятницу маркетплейс предупредил, что NFT, выставленные на его EVM-маркетплейсе примерно с февраля по октябрь 2024 года, могли пострадать от эксплойта в Payment Processor V2 — протоколе торговли NFT, созданном и поддерживаемом Limit Break.
EVM относится к Ethereum и совместимым с ним блокчейнам. Magic Eden приняла этот контракт для расчётов по сделкам в 2024 году, перестала его использовать в октябре того же года и полностью закрыла свой EVM-маркетплейс в начале 2026 года.
"Ни один активный листинг Magic Eden не пострадал в этом эксплойте", — заявила компания в X.
Проблема заключается в сохраняющихся разрешениях. Когда пользователи выставляют NFT на продажу, они обычно предоставляют контракту разрешение на их перемещение, и это разрешение остаётся активным до тех пор, пока оно не будет отозвано.
Magic Eden призвала всех, кто выставлял или торговал на её EVM-маркетплейсе, отозвать разрешения "approved for all" контракта V2 в Ethereum, Polygon и Base с помощью Revoke.cash. Она отметила, что отзыв не вернёт токены, которые уже были перемещены.
Сегодня в 9 утра по восточному времени кто-то использовал ошибку в Payment Processor V2, чтобы украсть 10 Meebits, 50 Otherdeeds, 10 WoW и 235 Desperate Apewives.
Только спустя более 12 часов кто-то сообщил мне об этом, и, копнув глубже, я понял, что множество NFT подверглись… pic.twitter.com/Vue8TUyMD2
— Quit (@0xQuit) 25 сентября 2026 г.
Вице-президент Yuga Labs по блокчейну 0xQuit сообщил, что злоумышленник использовал эту ошибку, чтобы забрать 10 Meebits, 50 Otherdeeds, 10 World of Women NFT и 235 Desperate ApeWives. Limit Break приостановила Payment Processor V3, в котором был тот же изъян, но V2 нельзя было приостановить. Это вынудило провести спасательную операцию whitehat, в ходе которой дружественные хакеры перемещают уязвимые активы в безопасное место до того, как это смогут сделать атакующие.
"В общей сложности мы спасли 23 155 NFT стоимостью более 5,7 млн долларов США", — написал 0xQuit. По словам 0xQuit, владельцы смогут вернуть их после отзыва разрешений.
Но 660 обёрнутых Ethereum, или WETH, подвергшихся обратной версии эксплойта, не были возвращены вовремя.
Magic Eden отказалась от поддержки Ethereum и Bitcoin в феврале, чтобы сосредоточиться на Solana и своём криптоказино Dicey. Позже она свернула свой мультичейн-кошелёк.
Этот эпизод происходит в трудное время для криптопользователей. Только вчера неизвестные хакеры украли более 380 миллионов долларов в Ethereum и других криптоактивах с биржи Bitget в рамках крупнейшего крипто-взлома года.
