Агрегація тегів криптоновин та тематична інформація

magic-eden-old-ethereum-nft-listings-exposed-exploit

Magic Eden попереджає, що старі лістинги Ethereum NFT піддаються експлойту платіжного процесора

Недолік у Payment Processor V2 від Limit Break поставив під загрозу старі лістинги Magic Eden в мережі Ethereum, що спонукало білий хет до порятунку понад 23 000 NFT.

2026-09-25 Джерело:decrypt.co

ETH

WETH

Коротко

Magic Eden попередив, що NFT, розміщені на його нині закритому EVM-маркетплейсі приблизно між лютим і жовтнем 2024 року, могли опинитися під загрозою експлойту в Payment Processor V2 від Limit Break.
0xQuit із Yuga Labs повідомив, що в межах whitehat-операції вдалося врятувати 23 155 NFT вартістю понад $5,7 млн, але 660 WETH повернути не вдалося.
Користувачам слід відкликати дозволи контракту в Ethereum, Polygon і Base. Відкликання не поверне токени, які вже були переміщені.

Magic Eden, можливо, і залишив Ethereum позаду, але NFT деяких його колишніх користувачів усе ще залишалися під загрозою.

У п’ятницю маркетплейс попередив, що NFT, розміщені на його EVM-маркетплейсі приблизно в період з лютого по жовтень 2024 року, могли постраждати через експлойт у Payment Processor V2 — протоколі для торгівлі NFT, створеному та підтримуваному Limit Break.

Myriad: Куди далі рухатиметься Ethereum? Натисніть, щоб зробити свій прогноз.

EVM означає Ethereum і сумісні з ним блокчейни. Magic Eden почав використовувати цей контракт для розрахунків за угодами у 2024 році, припинив його використання того жовтня, а на початку 2026 року повністю закрив свій EVM-маркетплейс.

«Жодні активні лістинги Magic Eden не постраждали від цього експлойту», — повідомила компанія в X.

Проблема полягає в чинних дозволах, що залишилися. Коли користувачі виставляють NFT на продаж, вони зазвичай надають контракту дозвіл на їх переміщення, і цей дозвіл залишається активним, доки його не буде відкликано.

Magic Eden закликав усіх, хто розміщував NFT або торгував на його EVM-маркетплейсі, відкликати дозволи типу "approved for all" для контракту V2 в Ethereum, Polygon і Base за допомогою Revoke.cash. Компанія зазначила, що відкликання не поверне токени, які вже були переміщені.

Сьогодні о 9:00 за східним часом хтось скористався багом у Payment Processor V2, щоб викрасти 10 Meebits, 50 Otherdeeds, 10 WoW і 235 Desperate Apewives.

Лише більш ніж через 12 годин мені про це повідомили, і, розібравшись, я зрозумів, що дуже велика кількість NFT підпадала під… pic.twitter.com/Vue8TUyMD2

— Quit (@0xQuit) 25 вересня 2026 року

Віцепрезидент Yuga Labs з блокчейну 0xQuit заявив, що зловмисник використав цей баг, щоб викрасти 10 Meebits, 50 Otherdeeds, 10 NFT із колекції World of Women і 235 Desperate ApeWives. Limit Break призупинив Payment Processor V3, який мав той самий недолік, але V2 призупинити було неможливо. Це змусило провести whitehat-рятувальну операцію — сценарій, у якому дружні хакери переміщують вразливі активи в безпечне місце раніше, ніж це встигнуть зробити нападники.

«Загалом ми врятували 23 155 NFT вартістю понад $5,7 млн», — написав 0xQuit. За його словами, власники зможуть повернути їх після відкликання дозволів.

Але 660 wrapped Ethereum, або WETH, які потрапили під зворотну версію цього експлойту, врятувати вчасно не вдалося.

У лютому Magic Eden відмовився від підтримки Ethereum і Bitcoin, щоб зосередитися на Solana та своєму криптоказино Dicey. Пізніше компанія також згорнула свій мультичейн-гаманець.

Цей епізод стався у непростий момент для користувачів криптовалют. Буквально вчора невідомі хакери викрали з біржі Bitget понад $380 млн в Ethereum та інших криптоактивах — це вже найбільший криптозлам року.