Маркетплейс Magic Eden предупредил об уязвимости в протоколе Payment Processor V2, который использовался для сделок с NFT в сетях EVM с февраля по октябрь 2024 года. Проблема связана с разрешениями на доступ к токенам, которые пользователи предоставляли при размещении лотов и которые остаются активными до их отзыва.
Злоумышленники использовали ошибку для кражи 10 Meebits, 50 Otherdeeds, 10 World of Women и 235 Desperate ApeWives. В ходе операции по спасению активов «белые хакеры» переместили 23 155 NFT стоимостью более $5,7 млн в безопасные хранилища. При этом 660 единиц обернутого Ethereum были похищены через обратную версию эксплойта.
Magic Eden подчеркнула, что текущие листинги на платформе не пострадали, так как компания полностью закрыла свой EVM-маркетплейс в начале 2026 года. Разработчики протокола Payment Processor V3 приостановили работу системы из-за аналогичной уязвимости, однако V2 не подлежал принудительной остановке.
Пользователям, которые ранее торговали на EVM-площадке Magic Eden, настоятельно рекомендуется отозвать разрешения для контракта V2 в сетях Ethereum, Polygon и Base через сервис Revoke.cash. Отзыв прав не вернет уже украденные токены, но позволит владельцам вернуть доступ к спасенным активам после завершения процедуры.
