Limit Breakin haavoittuvuus paljasti vanhojen NFT-lupien riskin

Syyskuussa 2026 Magic Edenin entiseen Ethereum-markkinapaikkaan liittyvät tapahtumat näyttivät siltä, että NFT-teoksia siirtyi käyttäjien lompakoista ilmaiseksi. Haavoittuvuus ei kuitenkaan ollut Magic Edenin nykyisissä myynti-ilmoituksissa vaan Limit Breakin Payment Processor -kaupankäyntiprotokollassa, jota Magic Eden oli aiemmin käyttänyt. Ongelma koski lompakoihin jääneitä sopimuslupia. 1922

Mitä tapahtui?

Revoke.cashin mukaan hyökkääjät alkoivat hyödyntää haavoittuvuutta 24. syyskuuta 2026. Se antoi mahdollisuuden toimia sellaisten lompakoiden puolesta, jotka olivat aiemmin antaneet Payment Processorille luvan: NFT-teoksia saattoi siirtää maksutta, ja hyväksyttyjä tokeneita saattoi viedä pakottamalla lompakon ostamaan arvottoman NFT:n. 39

Yuga Labsin lohkoketjuista vastaavan varatoimitusjohtajan Quitin eli 0xQuitin mukaan hyökkääjä vei 10 Meebits-, 50 Otherdeeds-, 10 World of Women- ja 235 Desperate ApeWives -NFT:tä. Näitä raportoituja varkauksia ei pidä sekoittaa seuraavana päivänä havaittuihin, paljon laajempiin siirtoihin. 927

25. syyskuuta NFT-kauppias Cirrus huomasi yhden lompakon siirtävän 3 832 NFT:tä sadoista lompakoista. Tapahtumat näyttivät Magic Edenin entiseen Ethereum-kaupankäyntiin liittyvän sopimuksen kautta tehdyiltä nollahintaisilta kaupoilta. Quit kertoi myöhemmin hallitsevansa vastaanottavaa lompakkoa: näkyvät siirrot olivat yritys saada vaarassa olevat NFT:t hyökkääjien ulottumattomiin. 1928

Mitä pelastusoperaatio sai turvaan?

Quitin ja Limit Breakin kanssa toteutettu valkohattujen eli tietoturvan puolesta toimivien tekijöiden operaatio siirsi lopulta turvaan 23 155 NFT:tä, joiden arvoksi arvioitiin yli 5,7 miljoonaa dollaria. Raporttien mukaan niitä säilytettiin osoitteessa, jonka alku on 0x71cf, ja omistajien oli tarkoitus saada teoksensa takaisin, kun palautus olisi turvallista. Turvaan siirtäminen ei siis tarkoita, että kaikki NFT:t olisi jo palautettu. 242737

Operaatio ei kattanut kaikkia menetyksiä. Raportit liittävät erilliseen hyödyntämistapaan noin 660 WETH:n määrän, jota ei saatu ajoissa takaisin. Lähteet kuvaavat sen tilaa hieman eri tavoin: osa pitää varoja menetettyinä, osa edelleen vaarassa olevina. NFT-pelastusta ei siksi pidä tulkita näiden varojen palautumiseksi. WETH on etheriin sidottu, tokenina käytettävä kryptovara. 2813

Miksi suljettuun markkinapaikkaan liittynyt lupa oli yhä riski?

Magic Edenin mukaan se lopetti Payment Processor V2:n käytön lokakuussa 2024 ja sulki EVM-lohkoketjujen markkinapaikkansa vuoden 2026 ensimmäisellä neljänneksellä. Mahdollisesti altistuneiksi se nimesi suunnilleen helmi–lokakuussa 2024 tehdyt myynti-ilmoitukset ja sanoi, ettei haavoittuvuus koskenut sen nykyisiä ilmoituksia. EVM tarkoittaa Ethereum-yhteensopivien lohkoketjujen teknistä ympäristöä. 522

Lohkoketjuun kirjattu hyväksyntä antaa älysopimukselle oikeuden toimia lompakon varojen kanssa. Tässä tapauksessa hyökkääjä tarvitsi aiemmin annetun luvan, ei omistajan uutta allekirjoitusta. Myynti-ilmoituksen poistaminen ei peru lupaa, eikä laitteistolompakko poista haavoittuvalle sopimukselle jo annettua oikeutta. 739

Mitä entisen käyttäjän kannattaa tarkistaa?

Quit ja Revoke.cash kehottivat peruuttamaan Payment Processor V2:n hyväksynnät Ethereumissa ja Payment Processor V3:n hyväksynnät ApeChainissa esimerkiksi Revoke.cash-palvelulla. Magic Eden kehotti entisiä EVM-käyttäjiään tarkistamaan V2-hyväksynnät myös Polygonissa ja Basessa; Revoke.cash raportoi hyökkäyksistä lisäksi muissa lohkoketjuissa. Myös turvaan siirrettyjen NFT:iden omistajia kehotettiin peruuttamaan kyseiset luvat ennen varojen palauttamista. 22243538

Tapaus muistuttaa, että kauppapaikan sulkeminen tai myynti-ilmoituksen poistaminen ei itsessään poista lohkoketjuun tallennettua sopimuslupaa. 739