หลัง Magic Eden ปิดตลาด NFT บน Ethereum ไปหลายเดือน สิทธิ์โอน NFT ที่ผู้ใช้บางรายเคยมอบให้สัญญา Payment Processor ยังคงอยู่บนบล็อกเชน Revoke.cash ออกคำเตือนเมื่อวันที่ 25 กันยายน 2026 ว่า Payment Processor V2 ของ Limit Break มีช่องโหว่ที่เกี่ยวข้อง และกระเป๋า Ethereum ที่ยังคงอนุญาตให้สัญญาดังกล่าวดำเนินการ อาจมีความเสี่ยงที่ NFT จะถูกโอนโดยไม่ได้รับอนุญาต
ต่อมา 0xQuit นักวิจัยด้านความปลอดภัยได้ย้าย NFT จำนวน 3,832 รายการออกจากกระเป๋าที่มีสิทธิ์ดังกล่าว โดยธุรกรรมทั้งหมดดำเนินการในรูปแบบการขายที่มีราคา 0 ETH 0xQuit ระบุว่าเป็นการย้ายเพื่อช่วยเหลือแบบ white hat และสินทรัพย์ถูกเก็บไว้ชั่วคราวในกระเป๋าที่อยู่ภายใต้การดูแล เพื่อรอส่งคืนเมื่อจัดการความเสี่ยงแล้ว อย่างไรก็ตาม Revoke.cash ยังไม่ยืนยันว่าในจำนวนดังกล่าวมี NFT กี่รายการที่ถูกย้ายอย่างปลอดภัย และยังไม่ทราบว่าผู้โจมตีที่ประสงค์ร้ายได้โอนสินทรัพย์ออกไปแล้วหรือไม่ ทำให้ขนาดความเสียหายที่แท้จริงยังไม่ชัดเจน
ปิดตลาดแล้ว แต่สิทธิ์บนบล็อกเชนยังคงอยู่
Magic Eden ยุติการสนับสนุนตลาดบนเครือข่าย EVM เมื่อวันที่ 9 มีนาคม 2026 รายการขายและข้อเสนอซื้อบนแพลตฟอร์มเป็นข้อมูลนอกเครือข่าย หรือ off-chain ดังนั้นเมื่อปิดตลาด รายการเหล่านี้จะไม่แสดงหรือดำเนินการผ่านเว็บไซต์อีกต่อไป
แต่สิทธิ์ที่ผู้ใช้เคยมอบให้ Payment Processor เป็นสิทธิ์บนบล็อกเชนที่แยกจากข้อมูลตลาด การยุติการให้บริการจึงไม่ได้ยกเลิกสิทธิ์ดังกล่าวโดยอัตโนมัติ แม้ผู้ใช้จะไม่ได้ทำธุรกรรมบน Magic Eden มาหลายเดือน หรือยกเลิกรายการขายเดิมไปแล้ว กระเป๋าก็อาจยังเปิดให้สัญญาที่เกี่ยวข้องดำเนินการกับ NFT ได้ หากสิทธิ์นั้นยังไม่ถูกเพิกถอน
ผู้ใช้จึงควรตรวจสอบสถานะการอนุญาตสัญญาของกระเป๋าในปัจจุบัน ไม่ควรประเมินว่าความเสี่ยงสิ้นสุดลงแล้วเพียงจากประวัติธุรกรรมหรือสถานะรายการขายบนเว็บไซต์
Ethereum และ ApeChain ต้องตรวจสอบคนละสิทธิ์
Revoke.cash แนะนำให้ผู้ใช้ตรวจสอบและเพิกถอนสิทธิ์ของ Payment Processor V2 บนเครือข่าย Ethereum ขณะเดียวกัน ผู้ที่เคยอนุมัติ Payment Processor V3 บน ApeChain ควรตรวจสอบสิทธิ์ดังกล่าวแยกต่างหาก
สิทธิ์ที่ผู้ถือ NFT มอบให้สัญญาอาจเปิดทางให้สัญญาที่ระบุสามารถโอน NFT แทนกระเป๋าได้ และโดยทั่วไปสิทธิ์ประเภทนี้ยังคงมีผลแม้ธุรกรรมหนึ่งจะเสร็จสิ้นแล้ว เว้นแต่เจ้าของจะดำเนินการเพิกถอนด้วยตนเอง
Revoke.cash ยังเตือนว่าการยกเลิกรายการขายบน Magic Eden ไม่ได้ยกเลิกสิทธิ์ที่กระเป๋ามอบให้สัญญาที่เกี่ยวข้อง เช่นเดียวกับการตัดการเชื่อมต่อกระเป๋าจากเว็บไซต์ ซึ่งไม่เปลี่ยนแปลงข้อมูลการอนุญาตที่ถูกบันทึกไว้บนบล็อกเชน ผู้ใช้สามารถใช้เครื่องมือตรวจสอบช่องโหว่ที่เกี่ยวข้องเพื่อดูว่าที่อยู่ของตนได้รับผลกระทบหรือไม่ และเพิกถอนสิทธิ์จากสัญญาประมวลผลที่ตรงกับกรณี
การเพิกถอนสิทธิ์ไม่ทำให้ NFT ที่ถูกโอนกลับคืน
การเพิกถอนสิทธิ์มีเป้าหมายเพื่อป้องกันการโอนในอนาคต ไม่สามารถเรียกคืน NFT ที่ถูกย้ายออกไปแล้ว คำเตือนในปัจจุบันมุ่งเน้นเฉพาะสิทธิ์ของ Payment Processor ตามที่ระบุ และยังไม่ได้ยืนยันว่ามีความเสียหายจากการโจมตีที่เป็นอันตรายเกิดขึ้นแล้วบนทั้ง Ethereum และ ApeChain
ณ วันที่ 25 กันยายน Revoke.cash ยังไม่ได้เปิดเผยรายละเอียดทางเทคนิคของช่องโหว่ และยังไม่ยืนยันว่าผู้ไม่หวังดีสามารถเข้าถึง NFT ได้แล้วหรือไม่ NFT จำนวน 3,832 รายการที่ 0xQuit ย้ายออกมาเป็นจำนวนการย้ายเพื่อช่วยเหลือที่มีการเปิดเผย ไม่ควรถือเป็นตัวเลขความเสียหายขั้นสุดท้าย
สำหรับผู้ถือ NFT ที่ยังมีสิทธิ์เก่าค้างอยู่ ขั้นตอนที่ยืนยันได้ในขณะนี้คือการตรวจสอบสัญญาที่เกี่ยวข้อง และเพิกถอนสิทธิ์โดยเร็วเมื่อไม่จำเป็นต้องให้สัญญาดังกล่าวดำเนินการกับกระเป๋าอีกต่อไป