Уязвимость в Payment Processor V2 подвергла риску старые NFT Magic Eden

Что произошло

Magic Eden сообщила, что старые NFT-листинги на ее EVM-маркетплейсе могли быть затронуты уязвимостью в Payment Processor V2 — протоколе торговли NFT, созданном и поддерживаемом Limit Break.

Magic Eden использовала этот контракт для расчетов по сделкам в 2024 году, прекратила его применение в октябре того же года, а в начале 2026 года полностью закрыла EVM-маркетплейс. Компания заявила, что действующие листинги Magic Eden в результате эксплойта не пострадали.

Детали атаки и спасения активов

Проблема была связана с ранее выданными разрешениями. При размещении NFT пользователи обычно разрешают контракту перемещать токены, и такое разрешение сохраняется, пока его не отозвать.

Magic Eden призвала всех, кто размещал или торговал NFT на ее EVM-маркетплейсе, отозвать разрешения «одобрено для всех» у контракта V2 в сетях Ethereum, Polygon и Base через Revoke.cash. Отзыв разрешений не возвращает токены, которые уже были перемещены.

В 9:00 по восточному времени злоумышленник использовал ошибку в Payment Processor V2 и похитил 10 Meebits, 50 Otherdeeds, 10 World of Women и 235 Desperate ApeWives.

По словам 0xQuit, вице-президента по блокчейну Yuga Labs, Limit Break приостановила работу Payment Processor V3, где была такая же уязвимость, однако V2 приостановить не удалось. Поэтому белые хакеры провели спасательную операцию и переместили уязвимые активы в безопасное место до того, как их могли забрать злоумышленники.

Владельцы смогут вернуть спасенные NFT после отзыва разрешений. При этом 660 WETH, уязвимых для обратной версии эксплойта, вовремя спасти не удалось.

Почему это важно

История показывает, что разрешения, выданные NFT-контрактам, могут сохранять риски даже после прекращения использования торгового протокола или закрытия маркетплейса.

Контекст

EVM — это Ethereum и совместимые с ним блокчейны. Операцией whitehat называют ситуацию, при которой дружественные хакеры перемещают уязвимые активы в безопасное место до того, как это успеют сделать злоумышленники.