Chyba v Payment Processoru ohrozila NFT bývalých uživatelů Magic Eden

Když 25. září 2026 začaly z mnoha peněženek mizet NFT v transakcích vypadajících jako prodeje na Magic Eden za 0 ETH, první dojem byl znepokojivý. Chyba se však netýkala aktuálních nabídek tržiště. Byla v protokolu Payment Processor od společnosti Limit Break, který Magic Eden dříve používal. Oprávnění udělená tomuto kontraktu zůstala na blockchainu platná i poté, co ho tržiště přestalo využívat. 1922

Krádež a záchranný přesun nejsou totéž

Podle služby Revoke.cash začali útočníci chybu zneužívat 24. září. Umožňovala jim jednat jménem peněženek, které Payment Processor schválily: mohli bez zaplacení převést schválená NFT nebo odčerpat schválené tokeny tím, že peněženku přiměli koupit bezcenné NFT. 39

Quit, známý také jako 0xQuit a působící jako viceprezident pro blockchain ve společnosti Yuga Labs, uvedl, že útočník odcizil 10 Meebits, 50 Otherdeeds, 10 NFT World of Women a 235 Desperate ApeWives. Jde o hlášenou krádež, nikoli o později pozorovaný hromadný přesun. 927

Ten 25. září zaznamenal obchodník s NFT vystupující jako Cirrus: jediná peněženka přesunula 3 832 NFT ze stovek peněženek. Transakce vypadaly jako prodeje za nula etherů přes kontrakt spojený s někdejším tržištěm Magic Eden na Ethereu. Quit následně uvedl, že peněženku ovládá on a že šlo o snahu dostat ohrožená NFT mimo dosah útočníků. 1928

Co se podařilo ochránit

Quit ve spolupráci s Limit Break nakonec přesunul do ochranné úschovy 23 155 NFT v hodnotě přes 5,7 milionu dolarů. Zprávy uváděly adresu začínající 0x71cf a plán vrátit aktiva majitelům, až to bude bezpečné. Uložení do úschovy ale neznamená, že už se všechna NFT vrátila původním vlastníkům. 242737

Záchrana NFT nepokrývala všechny škody. Související způsob zneužití se podle zpráv týkal také přibližně 660 WETH — tokenizované podoby etheru — které se nepodařilo včas zachránit. Zdroje jejich stav popisují různě: jedny je označují za ztracené, jiné za nadále ohrožené. Přesun NFT proto nelze zaměňovat za získání těchto prostředků zpět. 2813

Proč nestačilo stáhnout nabídku

Magic Eden uvedl, že Payment Processor V2 přestal používat v říjnu 2024 a své tržiště pro sítě kompatibilní s Ethereem (EVM) uzavřel v prvním čtvrtletí 2026. Za potenciálně dotčené označil nabídky vytvořené přibližně od února do října 2024; podle firmy nebyla zasažena žádná aktuální nabídka na Magic Eden. To ale neznamená, že zanikla stará oprávnění udělená kontraktu. 522

Takové oprávnění je souhlas zapsaný na blockchainu, který kontraktu umožňuje nakládat s určitými aktivy. Útok nepotřeboval nový podpis majitele. Zrušení prodejní nabídky samo o sobě oprávnění neodvolá; nepomůže proti němu ani hardwarová peněženka, protože ta neodstraní souhlas udělený dříve. 739

Co mají bývalí uživatelé zkontrolovat

Quit a Revoke.cash vyzvali ke zrušení dotčených oprávnění pro Payment Processor V2 na Ethereu a Payment Processor V3 na ApeChainu, například prostřednictvím Revoke.cash. Magic Eden doporučil bývalým uživatelům svého EVM tržiště prověřit oprávnění V2 také na Polygonu a Base; Revoke.cash uvádí útoky i na dalších sítích. Majitelé NFT přesunutých do ochranné úschovy mají oprávnění zrušit ještě před jejich převzetím zpět. 22243538

Poučení přesahuje jedno tržiště: uzavření služby ani stažení nabídky automaticky nemaže souhlasy uložené na blockchainu. 739