Некоторые Ethereum-кошельки могли сохранять разрешения на перевод NFT, выданные платёжным контрактам Magic Eden, спустя месяцы после закрытия платформой рынка NFT в сети Ethereum. Сервис безопасности кошельков Revoke.cash 25 сентября 2026 года предупредил, что Payment Processor V2 компании Limit Break всё ещё имел доступ, одобренный отдельными кошельками. Это создавало риск несанкционированного перемещения NFT.
После этого исследователь в сфере безопасности 0xQuit переместил 3 832 NFT с кошельков, на которых сохранялось такое разрешение. Транзакции были оформлены как продажи с нулевой стоимостью в ETH. 0xQuit назвал операции white-hat-спасением: активы временно хранятся на кастодиальных кошельках, пока проблема не будет устранена, после чего NFT должны вернуть владельцам.
Revoke.cash пока не подтвердил, какая часть этих переводов была легитимным спасением. Также не установлено, успели ли злоумышленники переместить какие-либо активы, поэтому окончательный масштаб возможных потерь остаётся неизвестным.
Закрытие рынка Magic Eden не отменило разрешения в блокчейне
Magic Eden прекратил поддержку рынков EVM 9 марта 2026 года. Листинги и заявки на покупку на платформе представляли собой данные вне блокчейна, поэтому после закрытия рынка они перестали отображаться и исполняться через сайт. Однако разрешения, которые пользователи ранее выдали Payment Processor, были отдельными ончейн-разрешениями. Закрытие рынка автоматически их не отменило.
В результате кошельки могли оставаться уязвимыми, даже если их владельцы месяцами не торговали на Magic Eden или отменили прежние листинги. Соответствующий контракт мог по-прежнему сохранять право распоряжаться NFT, пока владелец кошелька не отозвал разрешение. Поэтому пользователям следует проверять текущие разрешения контрактов в кошельке, а не ориентироваться только на историю операций или отсутствие активных листингов на сайте.
Ethereum и ApeChain нужно проверять отдельно
Revoke.cash рекомендовал пользователям проверить и отозвать разрешения Payment Processor V2 в сети Ethereum. Тем, кто ранее предоставлял разрешение Payment Processor V3 в ApeChain, необходимо отдельно проверить и это подключение.
Разрешение оператора NFT позволяет указанному контракту переводить токены от имени кошелька. Обычно такое разрешение продолжает действовать после завершения транзакции, если владелец не отзовёт его вручную. Revoke.cash также подчеркнул, что отмена листинга Magic Eden не удаляет разрешение кошелька для контракта, а отключение кошелька от сайта не меняет авторизацию, уже записанную в блокчейне.
Пользователи могут воспользоваться инструментами проверки разрешений для соответствующей сети, чтобы выяснить, затронут ли их адрес, и отменить права у платёжного контракта, если они больше не нужны.
Отзыв разрешения не возвращает уже переведённые NFT
Отмена разрешения предназначена для предотвращения будущих переводов и не позволяет вернуть NFT, которые уже были перемещены. Предупреждение относится к описанным разрешениям Payment Processor и само по себе не подтверждает наличие злонамеренных потерь в Ethereum или ApeChain.
По состоянию на 25 сентября Revoke.cash не опубликовал технические детали уязвимости и не подтвердил, получили ли злоумышленники доступ к каким-либо NFT. 3 832 NFT, перемещённые 0xQuit, — это раскрытое число операций по спасению, а не подтверждённый итоговый объём потерь. Для владельцев, у которых всё ещё действуют старые разрешения, проверка соответствующих контрактов и отзыв больше не нужных прав остаются непосредственными проверяемыми действиями.