Старые разрешения Magic Eden поставили пользователей под угрозу после перевода 3 832 NFT белым хакером

0xQuit воспользовался уязвимостью в Payment Processor V2 компании Limit Break, чтобы перевести 3 832 NFT с кошельков, выдавших разрешение, в рамках продаж за 0 ETH. Revoke.cash опубликовал предупреждение 25 сентября. Уязвимость затрагивает кошельки, которые по-прежнему разрешают этому контракту перемещать NFT. Эти разрешения остаются активными, пока владельцы их не отзовут. По словам Revoke.cash, 0xQuit назвал переводы спасением, проведенным белым хакером. Активы хранились на кастодиальном кошельке, пока их нельзя было безопасно вернуть. Revoke.cash не установил, сколько NFT забрали злоумышленники. Magic Eden прекратил поддержку маркетплейса в EVM 9 марта 2026 года. Его объявления и предложения размещались вне блокчейна и перестали быть видимыми или доступными для исполнения на сайте. Разрешение оператору существует в блокчейне. Закрытие маркетплейса не отменило это разрешение. Revoke.cash заявил, что пользователям следует отозвать разрешение Payment Processor V2 в Ethereum. Он также предупредил пользователей, выдавших разрешение Payment Processor V3 в ApeChain, о необходимости отозвать это отдельное разрешение. Разрешение NFT-оператору позволяет контракту перемещать активы из кошелька от имени владельца. Отмена объявления не защищает кошелек с действующим разрешением. Отключение кошелька от сайта также оставляет разрешения в блокчейне активными. На странице инцидента Revoke.cash есть проверка на эксплойт для затронутых адресов. Предупреждение касается указанных разрешений процессоров. Оно не подтверждает, что убытки возникли и в Ethereum, и в ApeChain. Отзыв разрешения снижает будущую подверженность риску, но не возвращает уже изъятые активы. Revoke.cash не публиковал технические детали уязвимости в своем уведомлении от 25 сентября. Итоговый размер убытков оставался неустановленным.