Una autorización antigua bastó para poner en riesgo miles de NFT

Miles de NFT salieron de distintas carteras en operaciones que parecían ventas por cero ETH en el antiguo mercado de Ethereum de Magic Eden. La escena apuntaba a un robo masivo, pero esas transferencias visibles resultaron ser parte de un rescate. La vulnerabilidad estaba en Payment Processor de Limit Break, un protocolo que Magic Eden había utilizado anteriormente, y podía aprovechar permisos que los usuarios aún tenían concedidos en la cadena. No se trataba de un fallo en las publicaciones de venta activas de Magic Eden. 1922

Del robo a la operación de rescate

Revoke.cash sitúa el inicio de la explotación el 24 de septiembre de 2026. Según su explicación, el fallo permitía actuar en nombre de carteras que habían autorizado Payment Processor: un atacante podía llevarse NFT aprobados sin pagar o vaciar tokens autorizados obligando a la cartera a comprar un NFT sin valor. 39

Quit, también conocido como 0xQuit y vicepresidente de blockchain de Yuga Labs, atribuyó al atacante el robo de 10 Meebits, 50 Otherdeeds, 10 NFT de World of Women y 235 Desperate ApeWives. Esos robos denunciados no deben confundirse con el volumen mucho mayor de NFT trasladados después para protegerlos. 927

El 25 de septiembre, el operador de NFT Cirrus alertó de que una cartera estaba moviendo 3.832 NFT desde cientos de carteras. Las operaciones aparecían como ventas por cero ETH mediante un contrato asociado al antiguo mercado de Ethereum de Magic Eden. Quit explicó posteriormente que él controlaba la cartera y que estaba trasladando los activos expuestos para adelantarse a los atacantes. 1928

Qué se puso a salvo y qué quedó pendiente

En colaboración con Limit Break, el operativo de seguridad —conocido como white hat o de «sombrero blanco»— trasladó finalmente 23.155 NFT valorados en más de 5,7 millones de dólares a custodia preventiva. Los informes identificaron una dirección que empieza por 0x71cf e indicaron que sus propietarios podrían recuperar los activos cuando fuera seguro hacerlo. Ponerlos a salvo no equivale a confirmar que todos hayan sido devueltos. 242737

El rescate tampoco cubrió todas las pérdidas: varios informes mencionan unos 660 WETH —ether representado como token— que no se recuperaron a tiempo mediante una vía de explotación relacionada. Las fuentes difieren al describir su situación: unas los consideran perdidos y otras dicen que seguían en riesgo. En ningún caso el rescate de los NFT demuestra que esos fondos se hayan recuperado. 2813

Por qué seguían expuestas carteras de un mercado cerrado

Magic Eden afirmó que dejó de usar Payment Processor V2 en octubre de 2024 y que cerró su mercado para redes compatibles con Ethereum, conocidas como EVM, durante el primer trimestre de 2026. Señaló como potencialmente afectadas las publicaciones de venta realizadas aproximadamente entre febrero y octubre de 2024, y precisó que ninguna publicación activa en Magic Eden se vio afectada. Esta última aclaración se refiere a las publicaciones, no a la desaparición de permisos concedidos antes. 522

Una autorización onchain permite a un contrato actuar sobre determinados activos de una cartera. El ataque aprovechaba ese permiso previo, sin necesitar una nueva firma del propietario. Por eso, cancelar una publicación de venta no revoca la autorización; guardar las claves privadas en una cartera física tampoco elimina facultades ya concedidas a un contrato vulnerable. 739

Qué deben revisar los antiguos usuarios

Quit y Revoke.cash instaron a revocar las autorizaciones afectadas de Payment Processor V2 en Ethereum y Payment Processor V3 en ApeChain, mediante Revoke.cash o una herramienta similar. Magic Eden pidió además a antiguos usuarios de su mercado EVM comprobar las autorizaciones de V2 en Polygon y Base. Revoke.cash informó de ataques también en otras redes. Quienes tengan NFT bajo custodia preventiva deben retirar los permisos afectados antes de recuperarlos. 22243538

La distinción clave es sencilla: cerrar un mercado o quitar un NFT de la venta no borra automáticamente un permiso registrado en la cadena. Para retirar esa autoridad hace falta revocarla. 739