Beberapa pengguna Magic Eden masih mempunyai kebenaran pemindahan NFT yang diberikan kepada kontrak pemprosesan pembayaran, walaupun pasaran NFT Ethereum platform itu telah ditutup beberapa bulan lalu. Perkhidmatan keselamatan dompet Revoke.cash memberi amaran pada 25 September 2026 bahawa kelemahan pada Payment Processor V2 milik Limit Break boleh membolehkan NFT dipindahkan tanpa kebenaran daripada dompet Ethereum yang masih mengekalkan kebenaran tersebut.
Penyelidik keselamatan 0xQuit kemudian memindahkan 3,832 NFT daripada dompet yang masih mempunyai kebenaran berkenaan. Semua transaksi itu dilaksanakan sebagai jualan pada harga sifar ETH. 0xQuit menyifatkan tindakan tersebut sebagai pemindahan pemulihan oleh penggodam beretika, dan berkata aset berkenaan disimpan buat sementara waktu dalam dompet jagaan sebelum dipulangkan selepas risiko ditangani.
Namun, Revoke.cash belum mengesahkan berapa banyak daripada NFT itu yang dipindahkan secara selamat. Perkhidmatan tersebut juga belum dapat menentukan sama ada penyerang berniat jahat telah memindahkan aset lain. Oleh itu, jumlah kerugian sebenar masih belum jelas.
Pasaran Magic Eden ditutup, kebenaran rantaian blok kekal aktif
Magic Eden menamatkan sokongan pasaran EVM pada 9 Mac 2026. Senarai jualan dan bidaan di platform itu merupakan data luar rantaian, lalu tidak lagi dipaparkan atau dilaksanakan melalui laman web selepas pasaran ditutup. Bagaimanapun, kebenaran operasi yang sebelum ini diberikan pengguna kepada Payment Processor wujud secara berasingan sebagai kebenaran dalam rantaian blok. Penutupan pasaran tidak membatalkan kebenaran tersebut secara automatik.
Ini bermakna dompet pengguna masih boleh terdedah walaupun mereka tidak lagi berdagang di Magic Eden selama beberapa bulan atau telah membatalkan senarai jualan lama. Selagi kontrak berkaitan masih mempunyai kebenaran untuk mengendalikan NFT, keupayaan memindahkan aset mungkin kekal tersedia. Pengguna perlu menyemak status kebenaran kontrak semasa dalam dompet mereka, bukan hanya bergantung pada sejarah transaksi atau status senarai jualan di laman web untuk menentukan sama ada risiko telah berakhir.
Ethereum dan ApeChain melibatkan kebenaran berbeza
Revoke.cash mengesyorkan pengguna menyemak dan membatalkan kebenaran Payment Processor V2 pada rangkaian Ethereum. Pengguna yang pernah meluluskan Payment Processor V3 di ApeChain juga perlu menyemak kebenaran itu secara berasingan.
Kebenaran pengendali NFT membolehkan kontrak tertentu memindahkan NFT bagi pihak sesebuah dompet. Kebenaran seperti ini biasanya kekal aktif selepas satu transaksi selesai, kecuali pemilik aset membatalkannya sendiri.
Revoke.cash turut mengingatkan bahawa membatalkan senarai jualan di Magic Eden tidak membatalkan kebenaran dompet kepada kontrak berkaitan. Memutuskan sambungan dompet daripada laman web juga tidak mengubah rekod kebenaran yang telah disimpan dalam rantaian blok. Pengguna boleh menggunakan alat semakan kelemahan berkaitan untuk mengetahui sama ada alamat mereka terjejas, kemudian melaksanakan pembatalan terhadap kontrak pemprosesan yang sepadan.
Pembatalan kebenaran tidak memulangkan NFT yang telah dipindahkan
Pembatalan kebenaran bertujuan menghalang pemindahan pada masa akan datang dan tidak boleh mendapatkan semula NFT yang telah dipindahkan. Amaran semasa hanya melibatkan kebenaran Payment Processor yang dinyatakan di atas, dan tidak bermakna kerugian berniat jahat telah disahkan berlaku di kedua-dua rangkaian Ethereum dan ApeChain.
Sehingga 25 September, Revoke.cash belum mendedahkan butiran teknikal kelemahan itu dan belum mengesahkan sama ada pihak berniat jahat telah memperoleh NFT. Sebanyak 3,832 NFT yang dipindahkan oleh 0xQuit ialah jumlah pemindahan pemulihan yang telah didedahkan, bukan angka kerugian muktamad.
Bagi pemegang NFT yang masih mengekalkan kebenaran lama, langkah yang boleh disahkan pada peringkat ini ialah menyemak kontrak berkaitan dan membatalkan kebenaran apabila akses tersebut tidak lagi diperlukan.