يمكن لمستخدمي ماجيك إيدن الآن استعادة رموز NFT التي تم إنقاذها من ثغرة في معالج الدفع

تم إطلاق الموقع المخصص لأصحاب الرموز غير القابلة للاستبدال (NFTs) لاستعادة رموزهم، وفقًا لما ذكره المتخصص في مكافحة الاحتيال الأخلاقي الذي أطلق مهمة الإنقاذ لإنقاذ الرموز غير القابلة للاستبدال المعرضة للخطر خلالdent الأمني ​​الذي تعرض فيه مستخدمو Magic Eden من حقبة 2024 للخطر بسبب استغلال معالج الدفع الخاص بـ Limit Break. 

وفقًا لـ 0xQuit، نائب رئيسdent أبحاث البلوك تشين في Yuga Labs، الذي أدار مهمة الإنقاذ، فإنmatic الموافقة  جزءًا من الشروط التي يجب على المالكين استعادتها لاستعادة رموز NFT الخاصة بهم هو أن يقوموا أولاً بإلغاء القديمة

عملية الاسترداد مجانية تمامًا أيضًا، حيث يتم تطبيق رسوم الغاز القياسية فقط.  

والجدير بالذكر أنه لا يمكن استعادة سوى الرموز غير القابلة للاستبدال (NFTs) التي تم إنقاذها من الموقع، في حين أن تلك التي بحوزة المستغلين غير قابلة للاسترداد، وذلك وفقًا لتقرير Cryptopolitan هذا. 

كيفية استعادة الرموز غير القابلة للاستبدال (NFTs) التي تم إنقاذها 

أعلن 0xQuit عن فتح موقع الاسترداد في وقت متأخر من يوم السبت، وكتب على منصة X: "موقع المطالبة متاح الآن. إذا تمكنت من حفظ رموز NFT الخاصة بك، فيمكنك الآن استردادها". 

ولتجنب تكرار التعرض للحادث، حذر المسؤول التنفيذي في شركة Yuga Labs من أن مالكي NFT لا يمكنهم استعادة NFTs الخاصة بهم إلا بعد إلغاء موافقة معالج الدفع التي تسببت فيdent بأكمله في المقام الأول. 

شركة Revoke.cash من أن الهجوم يعتمد فقط على الموافقة، لذا فإن إلغاء القوائم غير فعال في إيقاف الاستغلال. 

nftsaresafu.xyz هو الموقع الرسمي الوحيد، وحتى وقت النشر، تم بالفعل المطالبة بـ 2357 أصلاً من أصل 26448 أصلاً مسترداً. 

كما حذرت شركة 0xQuit من أن هذا الادعاء يتفاعل مع إعداد محفظة مفوضة، مما قد يتداخل مع محاكاة المعاملات في بعض المحافظ.

كيف كادت موافقة عام 2024 أن تتسبب في كارثة NFT

يعود أصل ثغرة سبتمبر 2026 إلى بروتوكول تداول الرموز غير القابلة للاستبدال (NFT) الذي ماجيك إيدن في عام 2024 لتسوية معاملات EVM، وهو معالج الدفع V2. ومع ذلك، وفقًا لموقع Revoke.cashcash، عندما تخلت ماجيك إيدن عن المعالج الذي طورته ليميت بريك في أكتوبر 2024، لم يتم إيقاف الموافقات على الرموز والرموز غير القابلة للاستبدال التي منحها المستخدمون خلال تلك الفترة على سلسلة الكتل. 

استغل المهاجم هذا الإذن النشط، واستخدمه لاختطاف الرموز غير القابلة للاستبدال (NFTs) بشكل كامل ولشراء رموز غير قابلة للاستبدال عديمة القيمة باستخدام الرموز المخزنة في المحافظ. 

تم سرقة ما لا يقل عن 2.8 مليون دولار منذ بدء عملية الاستغلال في 24 سبتمبر، مما أثر على محافظ Ethereumو Polygon و Base و Arbitrum و ApeChain.

نظرًا لعدم إمكانية إيقاف الإصدار V2 أو إصلاحه، فإنه يبقى عرضة للاختراق إلىdefiمسمى. وقد أوقفت مبادرة Limit Break الإصدار V3 الأحدث في كل مكان باستثناء ApeChain، حيث يبقى قابلاً للاستخدام حتى 30 نوفمبر 2026.

ما أنقذه أصحاب القبعات البيضاء، وما لم يتمكنوا من إنقاذه

قال 0xQuit إن الهجوم ظهر بعد أن استغل شخص ما الخلل لسرقة 10 Meebits و 50 Otherdeeds و 10 World of Women NFTs و 235 Desperate ApeWives، وأنه استغرق الأمر أكثر من 12 ساعة قبل أن ينبهه أي شخص إلى ذلك. 

بمجرد أن أدرك باحثو الأمن نطاق المشكلة، استغلوا الثغرة نفسها كإجراء وقائي لنقل الأصول المعرضة للخطر إلى محفظة تحت سيطرتهم. وذكرت التقارير أن العملية أنقذت 23155 رمزًا غير قابل للاستبدال (NFT) بقيمة تزيد عن 5.7 مليون دولار.

لم يكن بالإمكان الوصول إلى كل شيء في الوقت المناسب. قال 0xQuit لموقع The Block: "كان 660 WETH معرضًا للخطر، وللأسف لم نكن بالسرعة الكافية لاستعادته"، موضحًا أنه يمكن تشغيل الثغرة بشكل عكسي لسحب WETH. 

تعليمات خاصة لبعض مجموعات NFT 

لن يتم تحرير بعض المجموعات بشكل كامل. حذر 0xQuit من أن حاملي مجموعات ERC721C أو ERC1155C قد لا يتمكنون من المطالبة بها بسبب قواعد التحقق من التحويل، وطلب من مالكي المجموعات المتأثرة تعديل إعداداتهم أو إضافة الموقع إلى قائمة المواقع المسموح بها. وأكد أنه سيعمل على حل هذه الحالات خلال الأيام القادمة.

منصة ماجيك إيدن أنها لم تتلق أي عروض مباشرة، وأنها أغلقت سوقها الإلكتروني لعملة إيثيريوم الافتراضية (EVM) في الربع الأول من عام 2026. ونصحت المنصة مستخدميها بإلغاء الموافقة على الإصدار الثاني (V2) على Ethereumوبوليغون وبيس. في غضون ذلك، صرّح كريس ماديرن، المؤسس المشارك لشركة أوبن سي، بأن فريقه قد صنّف أكثر من 3000 عنصر على أنها مسروقة لمنع إعادة بيعها.

تجذب أحداث كهذه المحتالين. وقد سبق أن ذكر Cryptopolitan أن مواقع "الاسترداد" و"المطالبة" المزيفة تميل إلى الظهور بعد عمليات استغلال واسعة النطاق، لذا ينبغي على المستخدمين الوصول إلى أداة المطالبة فقط من خلال منشور 0xQuit الموثق، وإلغاء الموافقات عبر مدقق موثوق بدلاً من الروابط المرسلة من غرباء في الرسائل الخاصة أو الردود.