Маркетплейс Magic Eden в пятницу сообщил, что унаследованные разрешения на его EVM-площадке оставили NFT стоимостью более $5,7 млн под угрозой эксплуатации в процессинге Limit Break Payment Processor V2.
Компания перестала использовать этот процессинг еще в октябре 2024 года, а EVM-маркетплейс закрыла в первом квартале 2026 года. «Ни один активный листинг Magic Eden не пострадал», — подчеркнули в платформе. Уязвимость стала публичной после того, как злоумышленник через процессинг украл 10 Meebits, 50 Otherdeeds, 10 World of Women и 235 Desperate ApeWives, сообщил вице-президент Yuga Labs по блокчейну 0xQuit.
По его словам, Limit Break оперативно приостановила Payment Processor V3, затронутый той же ошибкой, однако V2 остановить не удалось. Основным инструментом защиты стала операция белого хакера, в рамках которой удалось спасти 23 155 NFT более чем на $5,7 млн. При этом 660 WETH не удалось вернуть: позднее выяснилось, что похожий эксплойт можно использовать «в обратном направлении» для кражи WETH.
«660 WETH находились под риском, и мы, к сожалению, не успели их восстановить», — написал 0xQuit. Magic Eden уточнила, что затронуты NFT, размещенные на EVM-площадке примерно с февраля по октябрь 2024 года. Пользователям рекомендовано отозвать разрешения Payment Processor V2 в сетях Ethereum, Polygon и Base. После отзыва опасных разрешений владельцы смогут вернуть спасенные NFT.
По данным Wu Blockchain, белый хакер переместил 3 832 NFT из сотен кошельков на адрес 0x71cF. Генеральный директор Yuga Labs Майкл Фидж сообщил, что проблема была обнаружена несколькими часами ранее, а 0xQuit занимался активами в рамках спасательной операции. Активы останутся на указанном адресе до устранения риска, после чего их обещают вернуть владельцам.
