Коротко
- Magic Eden попередив, що NFT, розміщені на його нині закритому EVM-маркетплейсі приблизно з лютого по жовтень 2024 року, могли бути схильні до експлойту в Payment Processor V2 від Limit Break.
- 0xQuit з Yuga Labs заявив, що операція whitehat врятувала 23 155 NFT вартістю понад 5,7 мільйона доларів, але 660 WETH не вдалося відновити.
- Користувачам слід відкликати дозволи контракту в Ethereum, Polygon і Base. Відкликання не поверне токени, які вже були переміщені.
Magic Eden, можливо, залишив Ethereum позаду, але NFT деяких його старих користувачів усе ще були схильні до ризику.
У п'ятницю маркетплейс попередив, що NFT, розміщені на його EVM-маркетплейсі приблизно з лютого по жовтень 2024 року, могли постраждати від експлойту в Payment Processor V2 — протоколі торгівлі NFT, створеному та підтримуваному Limit Break.
EVM означає Ethereum та сумісні з ним блокчейни. Magic Eden прийняв цей контракт для розрахунків за угодами у 2024 році, припинив його використання того ж жовтня та повністю закрив свій EVM-маркетплейс на початку 2026 року.
"Жоден активний лістинг Magic Eden не постраждав від цієї експлуатації", — заявила компанія в X.
Проблема полягає в залишкових дозволах. Коли користувачі розміщують NFT, вони зазвичай надають контракту дозвіл на їх переміщення, і цей дозвіл залишається активним, доки його не відкликають.
Magic Eden закликала всіх, хто розміщував або торгував на її EVM-маркетплейсі, відкликати дозволи "approved for all" контракту V2 в Ethereum, Polygon і Base за допомогою Revoke.cash. Вона зазначила, що відкликання не поверне токени, які вже були переміщені.
О 9 ранку за східним часом сьогодні хтось скористався помилкою в Payment Processor V2, щоб викрасти 10 Meebits, 50 Otherdeeds, 10 WoW і 235 Desperate Apewives.
Лише через понад 12 годин хтось повідомив мені про це, і, розібравшись, я зрозумів, що величезна кількість NFT була схильна до… pic.twitter.com/Vue8TUyMD2
— Quit (@0xQuit) 25 вересня 2026 р.
Віце-президент Yuga Labs з блокчейну 0xQuit сказав, що зловмисник використав цю помилку, щоб забрати 10 Meebits, 50 Otherdeeds, 10 World of Women NFT і 235 Desperate ApeWives. Limit Break призупинила Payment Processor V3, який мав такий самий недолік, але V2 не можна було призупинити. Це змусило провести рятувальну операцію whitehat — операцію, під час якої дружні хакери переміщують уразливі активи в безпечне місце, перш ніж це зможуть зробити зловмисники.
"Загалом ми врятували 23 155 NFT вартістю понад 5,7 млн доларів США", — написав 0xQuit. За словами 0xQuit, власники зможуть повернути їх після відкликання дозволів.
Але 660 wrapped Ethereum, або WETH, схильних до зворотної версії цієї експлуатації, не були відновлені вчасно.
Magic Eden припинила підтримку Ethereum і Bitcoin у лютому, щоб зосередитися на Solana та своєму криптоказино Dicey. Згодом вона згорнула свій мультичейн-гаманець.
Цей епізод стався в складний час для користувачів криптовалют. Лише вчора невідомі хакери викрали понад 380 мільйонів доларів в Ethereum та інших криптоактивах з біржі Bitget — це найбільший криптохак року на цей момент.
