Magic Eden关闭以太坊NFT市场数月后，部分用户此前授予支付处理合约的NFT转移权限仍保留在链上。钱包安全服务Revoke.cash于2026年9月25日发布警告称，Limit Break的Payment Processor V2存在相关漏洞，仍授权该合约的以太坊钱包可能面临未经许可的NFT转移风险。
安全研究人员0xQuit随后从已授权钱包中转移了3,832枚NFT，交易均以零ETH销售的形式完成。0xQuit将这些操作描述为白帽救援，并表示相关资产暂时存放在托管钱包中，待风险得到处理后再归还。不过，Revoke.cash尚未确认这些NFT中有多少属于安全转移，也无法确定是否已有恶意攻击者转走资产，因此最终损失规模仍不明确。
Magic Eden关闭市场，链上授权并未同步失效
Magic Eden已于2026年3月9日结束EVM市场支持。平台上的挂单和报价属于链下数据，市场关闭后不再通过网站显示或执行。但用户此前授予Payment Processor的操作权限是独立存在于区块链上的链上授权，市场停止运营并不会自动撤销这项权限。
这意味着，即便用户已经数月没有在Magic Eden交易，或者过去的挂单已经取消，只要相关合约仍获得NFT操作授权，钱包就可能保留相应的暴露面。用户需要检查钱包当前的合约授权状态，而不能只依据历史交易记录或网站上的挂单状态判断风险是否已经消失。
以太坊和ApeChain涉及不同授权
Revoke.cash建议用户检查并撤销以太坊网络上的Payment Processor V2授权。同时，曾在ApeChain上批准Payment Processor V3的用户，也应单独检查该项权限。NFT运营商授权允许指定合约代表钱包转移NFT，这类权限通常在完成一次交易后仍然有效，除非持有人主动撤销。
Revoke.cash还特别提醒，取消Magic Eden上的挂单并不能解除钱包对相关合约的授权；将钱包与网站断开连接，也不会改变已经写入区块链的授权记录。用户可以通过相关漏洞检查工具确认地址是否受到影响，并针对对应的处理合约执行撤销操作。
撤销授权不能追回已转移资产
撤销授权主要是为了阻止未来的转移，并不能取回已经被转走的NFT。当前警告只针对上述Payment Processor授权，并不等于已经确认以太坊和ApeChain两个网络都发生了恶意损失。
截至9月25日，Revoke.cash尚未公开漏洞的技术细节，也没有确认恶意行为者是否已经取得NFT。0xQuit转移的3,832枚NFT属于已披露的救援转移数量，不能直接作为最终损失数字。对仍保留旧授权的持有人而言，现阶段可以确认的处理方式是检查相关合约，并在不再需要其操作权限时及时撤销。