Một số quyền chuyển NFT mà người dùng từng cấp cho hợp đồng xử lý thanh toán của Magic Eden vẫn còn tồn tại trên blockchain, dù thị trường NFT Ethereum của nền tảng đã đóng cửa nhiều tháng. Dịch vụ bảo mật ví Revoke.cash cảnh báo ngày 25/9/2026 rằng Payment Processor V2 của Limit Break có lỗ hổng liên quan; các ví Ethereum chưa thu hồi quyền có thể đối mặt với nguy cơ NFT bị chuyển mà không được phép.
Sau đó, nhà nghiên cứu bảo mật 0xQuit đã chuyển 3.832 NFT từ các ví vẫn còn cấp quyền. Các giao dịch đều được thực hiện dưới hình thức bán với giá 0 ETH. 0xQuit gọi đây là hoạt động giải cứu của một white hat và cho biết số tài sản đang được tạm giữ trong ví lưu ký để hoàn trả sau khi rủi ro được xử lý. Tuy nhiên, Revoke.cash chưa xác nhận bao nhiêu NFT trong số này thuộc các giao dịch chuyển an toàn, cũng như chưa thể xác định liệu kẻ tấn công đã chuyển tài sản hay chưa. Quy mô thiệt hại cuối cùng vì vậy vẫn chưa rõ.
Magic Eden đóng thị trường nhưng quyền trên chuỗi vẫn còn
Magic Eden đã chấm dứt hỗ trợ thị trường EVM vào ngày 9/3/2026. Các lệnh niêm yết và báo giá trên nền tảng là dữ liệu ngoài chuỗi, nên không còn được hiển thị hoặc thực thi qua website sau khi thị trường đóng cửa. Ngược lại, quyền thao tác mà người dùng từng cấp cho Payment Processor tồn tại độc lập trên blockchain và không tự động bị hủy khi hoạt động thị trường kết thúc.
Điều này có nghĩa là ví của người dùng vẫn có thể còn điểm phơi nhiễm, ngay cả khi họ đã không giao dịch trên Magic Eden trong nhiều tháng hoặc đã hủy các lệnh niêm yết trước đây. Việc đánh giá rủi ro cần dựa trên trạng thái cấp quyền hợp đồng hiện tại của ví, thay vì chỉ dựa vào lịch sử giao dịch hoặc tình trạng lệnh trên website.
Ethereum và ApeChain có các quyền cấp riêng
Revoke.cash khuyến nghị người dùng kiểm tra và thu hồi quyền của Payment Processor V2 trên mạng Ethereum. Những người từng cấp quyền cho Payment Processor V3 trên ApeChain cũng cần kiểm tra riêng quyền này. Khi được cấp quyền, một hợp đồng NFT cụ thể có thể đại diện cho ví để chuyển NFT; thông thường quyền vẫn có hiệu lực sau một giao dịch, trừ khi chủ sở hữu chủ động thu hồi.
Revoke.cash cũng lưu ý rằng việc hủy lệnh niêm yết trên Magic Eden không đồng nghĩa với việc hủy quyền của ví đối với các hợp đồng liên quan. Ngắt kết nối ví khỏi website cũng không thay đổi bản ghi cấp quyền đã được ghi trên blockchain. Người dùng có thể sử dụng công cụ kiểm tra lỗ hổng để xác định địa chỉ có bị ảnh hưởng hay không, sau đó thực hiện thao tác thu hồi đối với hợp đồng xử lý tương ứng.
Thu hồi quyền không lấy lại được NFT đã chuyển
Thu hồi quyền chủ yếu nhằm ngăn các giao dịch chuyển trong tương lai, không thể đưa những NFT đã bị chuyển ra khỏi ví trở lại. Cảnh báo hiện chỉ liên quan đến các quyền cấp cho những Payment Processor nói trên và chưa phải xác nhận rằng đã xảy ra thiệt hại do hành vi xấu trên cả Ethereum lẫn ApeChain.
Tính đến ngày 25/9, Revoke.cash chưa công bố chi tiết kỹ thuật của lỗ hổng và cũng chưa xác nhận liệu kẻ tấn công đã giành quyền kiểm soát NFT hay chưa. Con số 3.832 NFT do 0xQuit chuyển là số tài sản được công khai trong các giao dịch giải cứu, không thể dùng trực tiếp làm con số thiệt hại cuối cùng. Với những người vẫn còn giữ quyền cấp cũ, biện pháp có thể xác định ở thời điểm hiện tại là kiểm tra các hợp đồng liên quan và thu hồi quyền nếu không còn nhu cầu sử dụng.