Взлом Payment Processor: как старые разрешения поставили под угрозу NFT пользователей Magic Eden

Если вы когда-то торговали NFT через EVM-площадку Magic Eden, закрытие площадки само по себе не означает, что выданные тогда разрешения исчезли. Именно такие старые разрешения стали точкой входа при эксплуатации уязвимости в Payment Processor от Limit Break — протоколе, которым Magic Eden пользовалась раньше. По словам компании, действующие объявления на Magic Eden затронуты не были; риск был связан с сохранившимися разрешениями пользователей. 522

Почему переводы за 0 ETH сначала приняли за кражу

По данным сервиса Revoke.cash, злоумышленники начали использовать уязвимость 24 сентября 2026 года. Она позволяла действовать от имени кошельков, ранее одобривших Payment Processor: забирать NFT без оплаты либо списывать разрешённые к использованию токены, заставляя кошелёк купить NFT, не представляющий ценности. 39

Вице-президент Yuga Labs по блокчейну Quit, известный как 0xQuit, сообщил о краже 10 Meebits, 50 Otherdeeds, 10 NFT из коллекции World of Women и 235 Desperate ApeWives. Эти похищения важно отличать от массового перемещения NFT, замеченного позже. 927

25 сентября NFT-трейдер Cirrus обратил внимание на кошелёк, получивший 3 832 NFT из сотен кошельков. В блокчейне операции выглядели как продажи за 0 ETH через контракт, связанный с бывшей Ethereum-площадкой Magic Eden. Затем Quit заявил, что контролирует кошелёк: заметные всем переводы были попыткой вывести уязвимые NFT из-под удара. 1928

Что удалось спасти

Работая с Limit Break, участники защитной операции в итоге переместили 23 155 NFT стоимостью более $5,7 млн на безопасное хранение. В сообщениях фигурирует адрес, начинающийся с 0x71cf; владельцам обещали возможность вернуть активы, когда это станет безопасно. Хранение под защитой не означает, что все NFT уже возвращены владельцам. 242737

Операция не устранила все последствия взлома. С тем же типом уязвимости связывают около 660 WETH — обёрнутого эфира, который не удалось вовремя вернуть. Источники расходятся в описании его статуса: одни называют средства потерянными, другие — остававшимися под угрозой. Поэтому спасение NFT не следует считать подтверждением возврата этих средств. 2813

Как разрешение пережило закрытие площадки

Magic Eden прекратила использовать Payment Processor V2 в октябре 2024 года, а свою EVM-площадку закрыла в первом квартале 2026 года. Компания указала, что потенциально затронуты NFT, выставлявшиеся на продажу примерно с февраля по октябрь 2024 года, и подчеркнула, что действующие объявления на Magic Eden не пострадали. Но удаление объявления или закрытие площадки не отменяет разрешение, уже записанное в блокчейне. 522

Такое разрешение даёт смарт-контракту право совершать определённые действия с активами кошелька. Для этой атаки злоумышленнику не требовалась новая подпись владельца — хватало ранее выданного разрешения. Поэтому отмена объявления не защищает, а аппаратный кошелёк, оберегающий закрытые ключи, не отменяет полномочия, уже предоставленные уязвимому контракту. 739

Что проверить бывшим пользователям

Quit и Revoke.cash призвали отозвать разрешения Payment Processor V2 в сети Ethereum и Payment Processor V3 в сети ApeChain через Revoke.cash или аналогичный инструмент. Magic Eden также рекомендовала бывшим пользователям EVM-площадки проверить разрешения V2 в Polygon и Base; Revoke.cash сообщает об атаках и в других сетях. Тем, чьи NFT попали под защитное хранение, тоже следует отозвать затронутые разрешения до возврата активов. 22243538

Главный вывод касается не только Magic Eden: прекращение работы сервиса или снятие NFT с продажи не стирает разрешение, оставшееся в блокчейне. Его нужно отзывать отдельно. 739