कुछ Ethereum वॉलेट में Magic Eden की भुगतान-प्रोसेसिंग कॉन्ट्रैक्ट्स को दी गई NFT ट्रांसफर मंजूरियां बाजार बंद होने के महीनों बाद भी सक्रिय रहीं। वॉलेट-सुरक्षा सेवा Revoke.cash ने 25 सितंबर 2026 को चेतावनी दी कि Limit Break का Payment Processor V2 कुछ वॉलेट में अब भी अधिकृत था। इससे बिना अनुमति NFT ट्रांसफर का जोखिम बना रहा।
इसके बाद सुरक्षा शोधकर्ता 0xQuit ने उन वॉलेट से 3,832 NFT ट्रांसफर किए, जिनमें यह मंजूरी अभी मौजूद थी। इन ट्रांजैक्शनों को शून्य ETH की बिक्री के रूप में पूरा किया गया। 0xQuit ने इन्हें ‘white-hat rescues’ बताया और कहा कि समस्या का समाधान होने तथा NFT उनके मालिकों को लौटाए जाने तक परिसंपत्तियों को अस्थायी रूप से कस्टडी वॉलेट में रखा जा रहा है।
Revoke.cash ने अभी यह पुष्टि नहीं की है कि इनमें से कितने ट्रांसफर वैध बचाव कार्रवाई थे। यह भी स्पष्ट नहीं है कि किसी दुर्भावनापूर्ण पक्ष ने पहले ही कोई परिसंपत्ति ट्रांसफर की थी या नहीं। इसलिए संभावित नुकसान का अंतिम पैमाना अभी तय नहीं हुआ है।
बाजार बंद हुआ, लेकिन ऑन-चेन मंजूरियां बनी रहीं
Magic Eden ने 9 मार्च 2026 को EVM बाजारों के लिए समर्थन समाप्त कर दिया था। प्लेटफॉर्म पर लिस्टिंग और बोलियां ऑफ-चेन डेटा के रूप में दर्ज थीं, इसलिए बाजार बंद होने के बाद वे वेबसाइट पर दिखना या वहां से निष्पादित होना बंद हो गईं। हालांकि, उपयोगकर्ताओं द्वारा Payment Processor को दी गई मंजूरियां अलग-अलग ऑन-चेन अनुमतियां थीं। बाजार बंद करने से ये मंजूरियां अपने-आप रद्द नहीं हुईं।
इसका मतलब है कि कोई वॉलेट तब भी जोखिम में रह सकता था, भले ही उसके मालिक ने कई महीनों से Magic Eden पर कारोबार न किया हो या पुरानी लिस्टिंग रद्द कर दी हो। संबंधित कॉन्ट्रैक्ट को NFT ट्रांसफर करने की अनुमति तब तक मिलती रह सकती है, जब तक वॉलेट मालिक उसे रद्द न कर दे। इसलिए उपयोगकर्ताओं को केवल पुराने ट्रांजैक्शन रिकॉर्ड या वेबसाइट पर लिस्टिंग न दिखने पर निर्भर रहने के बजाय अपने वॉलेट में मौजूदा कॉन्ट्रैक्ट मंजूरियों की जांच करनी चाहिए।
Ethereum और ApeChain पर अलग-अलग जांच जरूरी
Revoke.cash ने उपयोगकर्ताओं से Ethereum पर Payment Processor V2 की मंजूरियों की समीक्षा कर उन्हें रद्द करने को कहा है। जिन उपयोगकर्ताओं ने पहले ApeChain पर Payment Processor V3 को मंजूरी दी थी, उन्हें उस अनुमति की अलग से जांच करनी चाहिए।
NFT ऑपरेटर की मंजूरी किसी निर्दिष्ट कॉन्ट्रैक्ट को वॉलेट की ओर से NFT ट्रांसफर करने की अनुमति देती है। लेनदेन पूरा होने के बाद भी ये अनुमतियां सामान्यतः सक्रिय रहती हैं, जब तक धारक उन्हें खुद रद्द न करे। Revoke.cash ने यह भी स्पष्ट किया कि Magic Eden की किसी लिस्टिंग को रद्द करने से कॉन्ट्रैक्ट के लिए वॉलेट की मंजूरी खत्म नहीं होती। इसी तरह, वॉलेट को वेबसाइट से डिस्कनेक्ट करने से ब्लॉकचेन पर पहले से दर्ज अनुमति नहीं बदलती।
उपयोगकर्ता संबंधित अप्रूवल-चेकिंग टूल के जरिये यह पता लगा सकते हैं कि उनका पता प्रभावित है या नहीं। जरूरत होने पर वे संबंधित भुगतान-प्रोसेसिंग कॉन्ट्रैक्ट की अनावश्यक अनुमतियां रद्द कर सकते हैं।
मंजूरी रद्द करने से ट्रांसफर हुए NFT वापस नहीं आते
किसी मंजूरी को रद्द करने का उद्देश्य भविष्य के ट्रांसफर रोकना है; इससे पहले ही भेजे जा चुके NFT वापस नहीं मिलते। चेतावनी ऊपर बताए गए Payment Processor की मंजूरियों से संबंधित है और अपने-आप यह साबित नहीं करती कि Ethereum तथा ApeChain, दोनों पर दुर्भावनापूर्ण नुकसान हुआ है।
25 सितंबर तक Revoke.cash ने इस समस्या का तकनीकी विवरण प्रकाशित नहीं किया था और न ही यह पुष्टि की थी कि किसी दुर्भावनापूर्ण पक्ष ने कोई NFT हासिल किया। 0xQuit द्वारा ट्रांसफर किए गए 3,832 NFT सामने आए बचाव ट्रांसफरों की संख्या है, इसे अंतिम पुष्टि किए गए नुकसान का आंकड़ा नहीं माना जा सकता। जिन धारकों के वॉलेट में पुरानी मंजूरियां अब भी सक्रिय हैं, उनके लिए तत्काल सत्यापन योग्य कदम संबंधित कॉन्ट्रैक्ट की जांच करना और जिन अनुमतियों की अब जरूरत नहीं है उन्हें रद्द करना है।