Limit Break açığı: Eski Magic Eden kullanıcılarının NFT’leri nasıl tehlikeye girdi?

25 Eylül 2026’da yüzlerce cüzdandan çıkan NFT’ler, Magic Eden üzerinden sıfır ETH’ye satılmış gibi görünüyordu. Ancak sorun Magic Eden’in güncel ilanlarında değil, pazar yerinin geçmişte kullandığı Limit Break Payment Processor protokolündeydi. Kullanıcıların bu sözleşmeye daha önce verdiği zincir üzerindeki izinler, pazar yeri sözleşmeyi kullanmayı bıraktıktan sonra da geçerli kalmıştı. 1922

Önce hırsızlık, ardından dikkat çeken transferler

Revoke.cash’e göre açığın kötüye kullanılması 24 Eylül 2026’da başladı. Açık, Payment Processor’a önceden izin vermiş bir cüzdan adına işlem yapılmasına olanak tanıyordu: Saldırganlar izin kapsamındaki NFT’leri bedelsiz alabiliyor veya cüzdana değersiz bir NFT satın aldırarak izin verilmiş tokenları çekebiliyordu. 39

Yuga Labs’in blokzincirden sorumlu başkan yardımcısı Quit’in (0xQuit) aktardığına göre bir saldırgan 10 Meebits, 50 Otherdeeds, 10 World of Women ve 235 Desperate ApeWives NFT’si çaldı. Bu bildirilen hırsızlık, ertesi gün görülen çok daha büyük transferlerle karıştırılmamalı. 927

25 Eylül’de NFT yatırımcısı Cirrus, tek bir cüzdanın yüzlerce cüzdandan 3.832 NFT taşıdığını fark etti. İşlemler, Magic Eden’in eski Ethereum pazar yeriyle bağlantılı bir sözleşme üzerinden sıfır ETH’lik satışlar gibi görünüyordu. Quit daha sonra bu cüzdanın kendi kontrolünde olduğunu ve transferlerin savunmasız NFT’leri saldırganlardan önce güvenli bir yere taşımayı amaçladığını açıkladı. 1928

Kurtarılanlar ve kurtarılamayanlar

Quit ile Limit Break’in yürüttüğü beyaz şapkalı operasyon sonunda, değeri 5,7 milyon doları aşan 23.155 NFT koruma amacıyla başka adreslere taşındı. Haberlerde 0x71cf ile başlayan bir saklama adresi belirtiliyor; sahiplerinin, güvenli olduğunda varlıklarını geri alabileceği aktarılıyor. Koruma altına alınmaları, bütün NFT’lerin sahiplerine şimdiden iade edildiği anlamına gelmiyor. 242737

Operasyon bütün kayıpları karşılamadı. İlgili bir saldırı yoluyla bağlantılı yaklaşık 660 WETH’nin zamanında kurtarılamadığı bildirildi. Kaynakların bir kısmı bu tutarı kayıp, bir kısmı ise hâlâ risk altında olarak tanımlıyor. Dolayısıyla NFT’lerin kurtarılmış olması, söz konusu WETH’nin de geri alındığı şeklinde okunmamalı. 2813

Pazar yeri kapanmışken risk neden sürdü?

Magic Eden, Payment Processor V2’yi Ekim 2024’te kullanmayı bıraktığını ve Ethereum uyumlu ağlara yönelik EVM pazar yerini 2026’nın ilk çeyreğinde kapattığını söyledi. Şirket, yaklaşık Şubat–Ekim 2024 arasında verilen ilanları potansiyel olarak etkilenmiş sayarken güncel Magic Eden ilanlarının etkilenmediğini belirtti. Fakat güncel ilanların etkilenmemesi, eski bir sözleşme izninin de ortadan kalktığı anlamına gelmiyor. 522

Buradaki izin, cüzdan sahibinin bir akıllı sözleşmeye daha önce zincir üzerinde verdiği yetki. Saldırı için sahibin yeniden işlem imzalaması gerekmiyordu. İlanı iptal etmek bu yetkiyi geri almıyor; donanım cüzdanı kullanmak da savunmasız sözleşmeye önceden verilmiş izni kendiliğinden kaldırmıyor. 739

Eski kullanıcılar neyi kontrol etmeli?

Quit ve Revoke.cash, kullanıcıları Ethereum’daki Payment Processor V2 ve ApeChain’deki Payment Processor V3 izinlerini Revoke.cash veya benzer bir araçla iptal etmeye çağırdı. Magic Eden ayrıca eski EVM kullanıcılarına Polygon ve Base ağlarındaki V2 izinlerini kontrol etmelerini söyledi; Revoke.cash başka ağlarda da saldırılar bildirdi. Koruma amacıyla NFT’leri taşınan sahiplerin de varlıklarını geri almadan önce ilgili izinleri iptal etmesi istendi. 22243538

Olayın pratik dersi şu: Bir pazar yerinin kapanması ya da satış ilanının kaldırılması, cüzdanın bir sözleşmeye verdiği eski zincir üzerindeki yetkiyi otomatik olarak silmez. 739