Неизвестный вывел 3800 NFT со счетов клиентов Magic Eden

Переводы прошли через Magic Eden по цене 0 ETH — то есть токены сменяли владельца без оплаты. Судя по стоимости $NFT на маркетплейсе, общий объем перемещенных активов составил около $1,7 млн.

Ответственность за эти действия взял на себя аноним с ником 0xQuit, который называет себя блокчейн-вице‑президентом Yuga Labs, компании‑создательницы коллекции «скучающих обезьян» Bored Ape Yacht Club. Он заявил, что это была операция по спасению $NFT, указывающая на уязвимость системы. 0xQuit заявил, что $NFT находятся в безопасности и будут возвращены владельцам после устранения угрозы.

Специалисты по безопасности компании Blockaid считают, что уязвимость связана с контрактом Payment Processor V2 проекта Limit Break. Механизм следующий: когда пользователи выставляли $NFT на продажу через Magic Eden, они давали контракту разрешение перемещать токены. Такое разрешение остается активным даже после закрытия площадки — и злоумышленник может фактически выкупать $NFT по нулевой цене, используя ранее выданные права.

Блокчейн-эксперты предупреждают: пока уязвимость не устранена, остается угроза копий. Любой, у кого есть доступ к тому же контракту, может вычищать оставшиеся разрешения пользователей, не успевших эти разрешения отозвать.

Команда Magic Eden официально не подтвердила уязвимость.

В пятницу, 25 сентября, криптобиржа Bitget в результате взлома лишилась активов примерно на $351,6 млн. Компания заявила, что средства клиентов защищены, а возможные потери будут покрыты из фонда защиты объемом более $464 млн.