Eksploit Limit Break: Bagaimana NFT bekas pengguna Magic Eden terdedah

Pada 25 September 2026, ribuan NFT kelihatan keluar dari dompet pengguna melalui transaksi yang direkodkan seperti jualan Magic Eden pada harga 0 ETH. Keadaan itu nampak seperti kecurian besar-besaran. Namun, pemindahan yang mencetuskan perhatian ramai kemudian dikenal pasti sebagai sebahagian daripada usaha menyelamatkan NFT yang terdedah. Kelemahan sebenar terletak pada Payment Processor Limit Break, protokol yang pernah digunakan oleh pasaran Magic Eden di Ethereum, dan bukannya pada penyenaraian Magic Eden yang masih aktif. 192228

Apa yang berlaku sebelum operasi menyelamat?

Menurut Revoke.cash, penyerang mula mengeksploitasi kelemahan itu pada 24 September 2026. Ia membolehkan mereka bertindak bagi pihak dompet yang pernah meluluskan Payment Processor: NFT yang diluluskan boleh diambil tanpa bayaran, manakala token yang diluluskan boleh dikeluarkan dengan memaksa dompet membeli NFT yang tidak bernilai. 39

Quit, juga dikenali sebagai 0xQuit dan merupakan naib presiden blok rantai di Yuga Labs, melaporkan bahawa penyerang mencuri 10 Meebits, 50 Otherdeeds, 10 NFT World of Women dan 235 Desperate ApeWives. Angka kecurian yang dilaporkan ini berbeza daripada jumlah NFT yang kemudiannya dipindahkan untuk diselamatkan. 927

Pada 25 September, pedagang NFT Cirrus mengesan sebuah dompet memindahkan 3,832 NFT daripada ratusan dompet. Transaksi itu kelihatan seperti jualan pada harga sifar melalui kontrak yang dikaitkan dengan bekas pasaran Ethereum Magic Eden. Quit kemudian berkata dompet berkenaan berada di bawah kawalannya: pemindahan yang mencurigakan itu bertujuan menjauhkan NFT terdedah daripada penyerang. 1928

Berapa banyak NFT yang diselamatkan?

Dengan kerjasama Limit Break, operasi oleh penyelidik keselamatan yang bertindak untuk melindungi aset pengguna akhirnya memindahkan 23,155 NFT bernilai lebih AS$5.7 juta ke tempat simpanan sementara yang selamat. Laporan mengenal pasti alamat simpanan yang bermula dengan 0x71cf dan menyatakan pemilik boleh mendapatkan semula aset mereka apabila keadaan selamat. Ini tidak bermakna semua NFT tersebut sudah dipulangkan. 242737

Penyelamatan NFT itu juga tidak merangkumi semua kerugian. Laporan menyebut kira-kira 660 WETH, iaitu Ether yang dibungkus sebagai token, yang tidak sempat diperoleh semula melalui laluan eksploit berkaitan. Ada sumber menyifatkannya sebagai kerugian, sementara yang lain menyatakan dana itu masih berisiko. Oleh itu, kejayaan menyelamatkan NFT tidak boleh dianggap sebagai pengesahan bahawa WETH tersebut telah dipulihkan. 2813

Mengapa bekas pengguna Magic Eden masih terdedah?

Magic Eden berkata ia berhenti menggunakan Payment Processor V2 pada Oktober 2024 dan menutup pasaran aset berasaskan EVM miliknya pada suku pertama 2026. Menurut syarikat itu, NFT yang pernah disenaraikan sekitar Februari hingga Oktober 2024 mungkin terjejas, tetapi tiada penyenaraian Magic Eden yang masih aktif terlibat. Perbezaannya penting: penyenaraian boleh tamat, namun kelulusan yang pernah diberikan kepada kontrak tidak semestinya turut terpadam. 522

Kelulusan ialah kebenaran yang direkodkan pada rantaian blok untuk membolehkan kontrak mengakses aset tertentu. Serangan ini menggunakan kebenaran sedia ada, bukan meminta pemilik menandatangani transaksi baharu. Sebab itu, membatalkan penyenaraian tidak membatalkan kelulusan. Dompet perkakasan boleh melindungi kunci peribadi, tetapi tidak menarik balik kuasa yang sudah diberikan kepada kontrak yang terdedah. 739

Apa yang patut disemak?

Quit dan Revoke.cash menggesa pengguna membatalkan kelulusan Payment Processor V2 di Ethereum serta Payment Processor V3 di ApeChain, menggunakan Revoke.cash atau alat seumpamanya. Magic Eden turut menggesa bekas pengguna pasaran EVM menyemak kelulusan V2 di Polygon dan Base; Revoke.cash melaporkan serangan pada rantaian lain juga. Pemilik NFT yang dipindahkan ke simpanan selamat turut dinasihatkan membatalkan kelulusan terjejas sebelum menuntut semula aset mereka. 22243538

Inti pengajarannya: apabila perkhidmatan dagangan ditutup atau penyenaraian dibatalkan, kelulusan kontrak pada rantaian blok tidak hilang secara automatik. Pengguna perlu menyemak dan membatalkannya secara berasingan. 739