یک آسیب‌پذیری در Payment Processor V2 شرکت Limit Break باعث شد برخی مجوزهای قدیمی کاربران Magic Eden همچنان در معرض سوءاستفاده قرار داشته باشند. در پی کشف این مشکل، یک محقق امنیتی با نام مستعار 0xQuit حدود ۳٬۸۳۲ NFT را از صدها کیف پول به یک آدرس تحت کنترل خود منتقل کرد و این اقدام را یک عملیات White Hat Rescue برای محافظت از دارایی‌ها توصیف کرد.

نکته مهم این است که این NFTها با قیمت صفر ETH منتقل شدند؛ بنابراین در نگاه اول، تراکنش‌ها شبیه یک حمله گسترده و تخلیه کیف پول‌ها به نظر می‌رسیدند. اما 0xQuit اعلام کرده دارایی‌های منتقل‌شده در یک کیف پول امانی نگهداری می‌شوند و پس از برطرف‌شدن خطر، به صاحبان اصلی بازگردانده خواهند شد.

ریشه مشکل به مجوزهای آنچین قدیمی مربوط می‌شود. Magic Eden در ۹ مارس ۲۰۲۶ پشتیبانی از بازار EVM خود را متوقف کرد، اما مجوزهایی که کاربران قبلاً به قراردادهای معاملاتی داده بودند، با تعطیلی بازار به‌صورت خودکار لغو نشدند. بنابراین برخی کیف پول‌ها ماه‌ها پس از توقف فعالیت بازار همچنان به قرارداد Payment Processor اجازه انتقال NFT می‌دادند.

طبق هشدار Revoke.cash، کاربران اتریوم باید مجوز Payment Processor V2 را بررسی و در صورت عدم نیاز، لغو کنند. همچنین افرادی که روی ApeChain مجوز Payment Processor V3 داده‌اند، باید آن مجوز را نیز بررسی کنند. لغو یک لیست NFT یا قطع اتصال کیف پول از سایت، به‌تنهایی مجوز آنچین را از بین نمی‌برد.

در ابتدا مشخص نبود که آیا این انتقال‌ها ناشی از یک حمله مخرب بوده یا عملیات نجات امنیتی. گزارش‌های بعدی نشان دادند که Magic Eden اعلام کرده مجوزهای قدیمی بازار EVM در معرض آسیب‌پذیری Payment Processor V2 قرار گرفته‌اند. بر اساس گزارش The Block، ارزش NFTهای در معرض خطر بیش از ۵.۷ میلیون دلار بوده است.

با این حال، باید بین دارایی‌های نجات‌یافته و دارایی‌های سرقت‌شده تفاوت قائل شد. گزارش اولیه CryptoSlate درباره انتقال ۳٬۸۳۲ NFT منتشر شده بود، اما داده‌های بعدی از عملیات گسترده‌تر نجات خبر می‌دهند و تعداد نهایی NFTهای جابه‌جاشده و میزان خسارت واقعی همچنان در حال بررسی است. همچنین مشخص نیست چه تعداد NFT پیش از عملیات کلاه‌سفیدها توسط مهاجمان مخرب سرقت شده است.

گزارش‌های مربوط به این حادثه همچنین نشان می‌دهند که آسیب‌پذیری فقط به NFTها محدود نبوده است. طبق گزارش The Block، حدود ۶۶۰ WETH نیز در معرض یک مسیر مشابه قرار داشت که عملیات نجات نتوانست آن را به‌موقع بازیابی کند.

برای کاربران قدیمی Magic Eden، مهم‌ترین نکته این است که اتصال‌نداشتن فعلی کیف پول به Magic Eden به معنی لغوشدن مجوزهای قبلی نیست. مجوز NFT در سطح بلاکچین ثبت شده و تا زمانی که کاربر آن را لغو نکند، ممکن است باقی بماند. به همین دلیل، بررسی Approvalهای قدیمی و لغو مجوزهای غیرضروری یکی از اقدامات امنیتی مهم در این حادثه است.

همچنین کاربران باید مراقب کلاهبرداری‌های ثانویه باشند. پس از چنین حوادثی، مهاجمان ممکن است با وعده بازگرداندن NFT، دریافت دارایی یا Claim کردن NFT نجات‌یافته از کاربران بخواهند تراکنش یا پیام مشکوکی را امضا کنند. بنابراین تا زمان اعلام فرآیند رسمی بازگرداندن دارایی‌ها، نباید هیچ تراکنش ناشناخته‌ای امضا شود.