Magic Eden / Limit Break Hack

Payment Processor — это протокол для торговли NFT, созданный Limit Break. Magic Eden использовала его для сделок на своем маркетплейсе в 2024 году, поэтому многие пользователи выдали ему доступ к своим NFT и таким токенам, как WETH. В октябре 2024 года Magic Eden перестала его использовать, но эти доступы остались действующими. 24 сентября 2026 года злоумышленники начали использовать уязвимость, которая позволяет им действовать от имени любого кошелька, выдавшего протоколу доступ. С ее помощью они бесплатно забирали NFT и выкачивали токены, к которым был выдан доступ, заставляя кошельки покупать ничего не стоящие NFT. Если вы снимете свои NFT с продажи, это вас не защитит, потому что для атаки достаточно одного доступа.

Большинство краж произошло в первые два дня, а более мелкие продолжались еще несколько недель. Всего злоумышленники выкачали около 622 WETH и небольшое количество других токенов общей стоимостью около 1,7 млн долларов, а также забрали NFT стоимостью не менее 2,5 млн долларов, в основном в сетях Ethereum, Polygon и Base. Чтобы ограничить ущерб, исследователи безопасности во главе с 0xQuit из Yuga Labs воспользовались той же уязвимостью и в ходе двух спасательных операций перевели более 200 тыс. NFT на хранение в безопасное место. С тех пор владельцы, отозвав свои доступы, вернули себе часть этих NFT на сумму более 4 млн долларов.

Кроме того, часть украденных средств была возвращена. Арбитражный бот, опередивший злоумышленников при первой краже WETH, предложил отдать 90% забранного. К октябрю 2026 года он вернул около 140 ETH и хранит еще более 100 ETH для владельцев, которые пока не запросили свои средства, а некоторые злоумышленники отдали обратно NFT. Таким образом, потери составляют около 3,4 млн долларов. Payment Processor V2 нельзя приостановить или исправить, а Limit Break приостановила V3 во всех сетях, кроме ApeChain, где этой версией можно пользоваться до 30 ноября 2026 года. Если вы когда-либо выдавали доступ Payment Processor в любой сети, отзовите эти доступы прямо сейчас, в том числе доступы к токенам, таким как WETH.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.