Magic Eden / Limit Break Hack

Payment Processor es un protocolo de trading de NFT creado por Limit Break. Magic Eden lo usó para las operaciones de su mercado en 2024, por lo que muchos usuarios lo autorizaron a mover sus NFT y tokens como WETH. Magic Eden dejó de usarlo en octubre de 2024, pero esas autorizaciones siguieron activas. El 24 de septiembre de 2026, los atacantes empezaron a aprovechar un fallo que les permite actuar en nombre de cualquier cartera que haya autorizado el protocolo. Lo usaron para llevarse NFT gratis y para vaciar los tokens autorizados obligando a las carteras a comprar NFT sin valor. Cancelar tus anuncios de venta no te protege, porque al ataque solo le hace falta la autorización.

La mayoría de los robos se produjeron en los dos primeros días, y siguió habiendo robos más pequeños durante semanas. En total, los atacantes sacaron de las carteras unos 622 WETH y cantidades menores de otros tokens, por valor de unos 1,7 millones de dólares, y se llevaron NFT valorados en al menos 2,5 millones de dólares, sobre todo en Ethereum, Polygon y Base. Para limitar los daños, un grupo de investigadores de seguridad encabezado por 0xQuit, de Yuga Labs, usó el mismo fallo para poner a buen recaudo más de 200.000 NFT en dos rondas de rescate. Desde entonces, los propietarios han reclamado NFT rescatados por valor de más de 4 millones de dólares después de revocar sus autorizaciones.

Parte de los fondos robados también se ha devuelto. Un bot de arbitraje que se adelantó al primer robo de WETH ofreció devolver el 90 % de lo que se llevó. Para octubre de 2026 ya había reembolsado unos 140 ETH y guarda más de 100 ETH para los propietarios que aún no los han reclamado, mientras que algunos atacantes devolvieron NFT. Con ello, las pérdidas quedan en unos 3,4 millones de dólares. Payment Processor V2 no se puede pausar ni corregir, y Limit Break pausó V3 en todas las redes excepto ApeChain, donde se puede seguir usando hasta el 30 de noviembre de 2026. Si alguna vez autorizaste Payment Processor en cualquier red, revoca ahora esas autorizaciones, incluidas las autorizaciones de tokens como WETH.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.