Magic Eden / Limit Break Hack

Payment Processor — это протокол для торговли NFT, созданный Limit Break. Magic Eden использовала его для сделок на своем маркетплейсе в 2024 году, поэтому многие пользователи выдали ему доступ к своим NFT и таким токенам, как WETH. В октябре 2024 года Magic Eden перестала его использовать, но эти доступы остались действующими. 24 сентября 2026 года злоумышленники начали использовать уязвимость, которая позволяет им действовать от имени любого кошелька, выдавшего протоколу доступ. С ее помощью они бесплатно забирали NFT и выкачивали токены, к которым был выдан доступ, заставляя кошельки покупать ничего не стоящие NFT. Если вы снимете свои NFT с продажи, это вас не защитит, потому что для атаки достаточно одного доступа.

С тех пор злоумышленники украли NFT и токены на сумму не менее 2,8 млн долларов в сетях Ethereum, Polygon, Base, Arbitrum и ApeChain, и на момент написания этого текста кражи продолжались. Чтобы ограничить ущерб, исследователи безопасности во главе с 0xQuit из Yuga Labs воспользовались той же уязвимостью и спасли более 23 тыс. NFT стоимостью более 5,7 млн долларов, переведя их на подконтрольный им кошелек для сохранности. По словам 0xQuit, владельцы смогут вернуть себе эти NFT после отзыва своих доступов.

Старую версию Payment Processor (V2) нельзя приостановить или исправить, поэтому она останется уязвимой. Limit Break приостановила новую версию (V3) во всех сетях, кроме ApeChain, где ею можно пользоваться до 30 ноября 2026 года. Если вы когда-либо выдавали доступ Payment Processor в любой сети, отзовите эти доступы прямо сейчас, в том числе доступы к токенам, таким как WETH. Отзыв защищает то, что еще остается в вашем кошельке, но не возвращает уже украденные активы. Эта запись будет обновляться по мере появления новой информации.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.