Теперь пользователи Magic Eden могут получить доступ к NFT, спасенным от уязвимости платежной системы
- Исследователь из организации Whitehat, 0xQuit, создал сайт для возврата NFT, полученных пользователями Magic Eden в результате использования уязвимости Payment Processor V2 в Limit Break.
- В результате взлома были нарушены права доступа, предоставленные в 2024 году, и было украдено как минимум 2,8 миллиона долларов.
- В результате спасательной операции было спасено 23 155 NFT на сумму более 5,7 миллионов долларов, хотя 660 WETH были утрачены.
Согласно информации от хакера, запустившего спасательную операцию по сохранению NFT, находившихся под угрозой во времяdent безопасности, в результате которого пользователи Magic Eden 2024 года оказались уязвимы из-за взлома платежного процессора Limit Break, сайт для восстановления NFT-токенов запущен.
По словам 0xQuit, вице-президентаdent является отзыв старого, проблемногоmatic . исследованиям блокчейна в Yuga Labs, руководившего спасательной операцией, одним из условий для возврата владельцами своих NFT
Процесс восстановления также совершенно бесплатный, взимается только стандартная плата за газ.
Примечательно, что с сайта можно вернуть только спасенные NFT, в то время как те, что находятся у злоумышленников, вернуть невозможно, согласно сообщению Cryptopolitan .
Как вернуть спасенные NFT
Пользователь 0xQuit объявил о запуске сайта восстановления поздно вечером в субботу, написав в X: «Сайт восстановления работает. Если мне удалось сохранить ваши NFT, теперь вы можете их восстановить».
Чтобы избежать повторного инцидента, представитель Yuga Labs предупредил, что владельцы NFT смогут вернуть свои NFT только после отзыва разрешения платежного процессора, которое и стало причиной всей этойdent .
Revoke.cashcash что атака основана только на одобрении, поэтому отмена объявлений неэффективна для предотвращения использования уязвимости.
nftsaresafu.xyz — единственный официальный сайт, и на момент публикации из 26 448 возвращенных активов уже заявлено 2357.
Компания 0xQuit также предупредила, что данное утверждение взаимодействует с настройками делегированного кошелька, что может помешать моделированию транзакций в некоторых кошельках.
Как одобрение в 2024 году чуть не привело к катастрофе с NFT
Уязвимость, обнаруженная в сентябре 2026 года, уходит корнями в протокол торговли NFT, который Magic Eden внедрила в 2024 году для расчетов по сделкам EVM, — Payment Processor V2. Однако, по данным Revoke.cashcashтак и не были отключены в блокчейне.
Именно это активное разрешение и использовал злоумышленник, чтобы напрямую захватить NFT и купить ничего не стоящие NFT, используя токены, хранящиеся в кошельках.
С момента начала атаки 24 сентября было украдено как минимум 2,8 миллиона долларов, затронув кошельки на платформах Ethereum, Polygon, Base, Arbitrum и ApeChain.
Поскольку версию V2 нельзя приостановить или обновить, она остаётся уязвимой наdefiсрок. В Limit Break более новая версия V3 была приостановлена везде, кроме ApeChain, где она остаётся доступной до 30 ноября 2026 года.
Что удалось спасти "белым хакерам", а что нет
Пользователь 0xQuit заявил, что атака всплыла после того, как кто-то воспользовался ошибкой, чтобы украсть 10 Meebits, 50 Otherdeeds, 10 NFT World of Women и 235 Desperate ApeWives, и что прошло более 12 часов, прежде чем кто-либо сообщил ему об этом.
Как только он понял масштаб проблемы, исследователи в области безопасности использовали ту же уязвимость в целях защиты, чтобы переместить рискованные активы в кошелек, находящийся под их контролем. Сообщается, что в результате операции было спасено 23 155 NFT на сумму более 5,7 миллионов долларов.
Не всё удалось восстановить вовремя. «660 WETH были под угрозой, и, к сожалению, мы не успели вовремя восстановиться», — рассказал 0xQuit изданию The Block, объяснив, что эксплойт можно запустить в обратном порядке, чтобы получить WETH.
Особые инструкции для некоторых коллекций NFT
Некоторые коллекции не будут выпущены корректно. 0xQuit предупредил, что владельцы коллекций ERC721C или ERC1155C могут быть не в состоянии получить свои средства из-за правил валидатора передачи, и попросил владельцев затронутых коллекций скорректировать свои настройки или добавить сайт в список разрешенных. Он сказал, что займется этими случаями в ближайшие дни.
Компания Magic Eden заявила, что ни одно из активных объявлений не пострадало, и что она закроет свой рынок EVM в первом квартале 2026 года. Торговая площадка посоветовала пользователям отозвать разрешение V2 на Ethereum, Polygon и Base. Тем временем соучредитель OpenSea Крис Маддерн заявил, что его команда отметила более 3000 предметов как украденные, чтобы заблокировать их перепродажу.
Подобные события привлекают мошенников. Ранее Cryptopolitan сообщал, что поддельные сайты «восстановления» и «заявки» часто появляются после громких мошеннических схем, поэтому пользователям следует получать доступ к инструменту подачи заявок только через проверенный пост 0xQuit и отзывать одобрения через надежный сервис проверки, а не по ссылкам, отправленным незнакомцами в личных сообщениях или ответах.
Если вы это читаете, значит, вы уже впереди. Оставайтесь на шаг впереди, подписавшись на нашу рассылку.
Часто задаваемые вопросы
Как мне вернуть спасенные NFT?
Согласно сообщению 0xQuit на X, подключите свой кошелек на официальном сайте 0xQuit для проверки наличия подлежащих возврату активов, отзовите одобрение платежного процессора V2, если вы еще этого не сделали, а затем отправьте транзакцию возврата.
Почему отзыв моего одобрения имеет значение, если мои объявления были удалены?
Отмена объявлений не помогает, поскольку для работы с вашим кошельком требуется лишь постоянное разрешение, сообщаетcash . Revoking защищает активы, которые всё ещё находятся в вашем кошельке, хотя и не может вернуть уже похищенные средства.
Сколько было украдено, а сколько удалось спасти?
По даннымcash, злоумышленники похитили как минимум 2,8 миллиона долларов США с помощью Ethereum, Polygon, Base, Arbitrum и ApeChain, в то время как «белые хакеры» спасли 23 155 NFT на сумму более 5,7 миллиона долларов. Примерно 660 WETH вернуть не удалось.
Предупреждение. Предоставленная информация не является торговой рекомендацией. Cryptopolitanнастоятельно не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мыtronпровести независимоеdent и/или проконсультироваться с квалифицированным специалистом, прежде чем принимать какие-либо инвестиционные решения.
Ханна Коллимор
Ханна — писательница и редактор с почти десятилетним опытом ведения блогов и освещения мероприятий в криптопространстве. В CryptopolitanХанна пишет для новостной страницы, освещая и анализируя последние события в DeFi, RWA, регулирования криптовалют, ИИ и передовых технологических отраслей. Она окончила университет Аркадия со степенью в области делового администрирования.
