Неизвестный адрес вывел 3832 невзаимозаменяемых токенов из сотен кошельков клиентов маркетплейса Magic Eden. Транзакции оформлены как продажи через торговый контракт, привязанный к площадке на Эфириуме.
Переводы прошли через Magic Eden по цене 0 ETH — то есть токены сменяли владельца без оплаты. Судя по стоимости NFT на маркетплейсе, общий объем перемещенных активов составил около $1,7 млн.
Ответственность за эти действия взял на себя аноним с ником 0xQuit, который называет себя блокчейн-вице‑президентом Yuga Labs, компании‑создательницы коллекции «скучающих обезьян» Bored Ape Yacht Club. Он заявил, что это была операция по спасению NFT, указывающая на уязвимость системы. 0xQuit заявил, что NFT находятся в безопасности и будут возвращены владельцам после устранения угрозы.
Специалисты по безопасности компании Blockaid считают, что уязвимость связана с контрактом Payment Processor V2 проекта Limit Break. Механизм следующий: когда пользователи выставляли NFT на продажу через Magic Eden, они давали контракту разрешение перемещать токены. Такое разрешение остается активным даже после закрытия площадки — и злоумышленник может фактически выкупать NFT по нулевой цене, используя ранее выданные права.
Блокчейн-эксперты предупреждают: пока уязвимость не устранена, остается угроза копий. Любой, у кого есть доступ к тому же контракту, может вычищать оставшиеся разрешения пользователей, не успевших эти разрешения отозвать.
Команда Magic Eden официально не подтвердила уязвимость.
В пятницу, 25 сентября, криптобиржа Bitget в результате взлома лишилась активов примерно на $351,6 млн. Компания заявила, что средства клиентов защищены, а возможные потери будут покрыты из фонда защиты объемом более $464 млн.
