Magic Eden i Limit Break z poważną luką. Handlowałeś NFT? Sprawdź stare zgody
Jeśli w 2024 roku listowałeś lub handlowałeś NFT na Magic Eden w sieciach EVM, warto teraz sprawdzić swój portfel. Problem dotyczy starego Limit Break Payment Processor V2 i pozostawionych zgód setApprovalForAll.
Samo anulowanie starego listingu nie musi wystarczyć. Jeśli approval pozostał aktywny na blockchainie, kontrakt nadal może posiadać uprawnienia do transferu NFT z danej kolekcji.
Szczególną uwagę powinny zwrócić osoby korzystające z Magic Eden EVM pomiędzy lutym a październikiem 2024 roku.
Co właściwie się stało?
Problem nie polega na klasycznym przejęciu seed phrase albo klucza prywatnego. Kluczową rolę odgrywają tutaj wcześniej nadane uprawnienia setApprovalForAll.
Podczas korzystania z marketplace’u NFT użytkownik może nadać smart kontraktowi status operatora. Dzięki temu protokół może później przenieść NFT, kiedy dochodzi do sprzedaży.
Limit Break Payment Processor był infrastrukturą wykorzystywaną do obsługi transakcji ERC-721 i ERC-1155. Problem polega na tym, że takie uprawnienie może pozostać zapisane na blockchainie również długo po tym, gdy przestaniesz korzystać z danego marketplace’u.
Możesz anulować listing, przestać korzystać z Magic Eden, usunąć stronę z zakładek i kompletnie o niej zapomnieć. Jeżeli approval nie został cofnięty on-chain, nadal może istnieć.
Dlaczego pojawiły się transfery NFT za 0 ETH?
W blockchainie zaczęły pojawiać się masowe transfery NFT z wielu różnych portfeli. Część z nich wyglądała jak sprzedaż za 0 ETH, co początkowo wywołało obawy o szeroki drain użytkowników.
Następnie researcher 0xQuit poinformował, że stoi za dużą częścią tych transferów i przeprowadził operację whitehat mającą zabezpieczyć zagrożone NFT przed faktycznymi atakującymi.
Według informacji publikowanych po incydencie 0xQuit zabezpieczył 3 832 NFT o wartości około 1,4 mln USD. Aktywa miały zostać zwrócone właścicielom po usunięciu zagrożenia.
Dlatego nie należy automatycznie traktować wartości zabezpieczonych NFT jako rzeczywistych strat użytkowników.
Kogo dotyczy problem?
Najważniejszą grupą są osoby, które korzystały z marketplace’u Magic Eden EVM, szczególnie w okresie od lutego do października 2024 roku.
Jak zrobić REVOKE?
Najprościej wykorzystać narzędzie przygotowane przez Revoke.cash specjalnie dla tego incydentu.
Zrób REVOKE
Sprawdzenie zajmuje kilka minut. Cofnięcie zgody wymaga jedynie transakcji on-chain i niewielkiej opłaty za gas.
Sprawdź portfel na Revoke.cashAdresy kontraktów do sprawdzenia
Ethereum: Payment Processor V2
0x9A1D00bEd7CD04BCDA516d721A596eb22Aac6834ApeChain: Payment Processor V3
0x9a1D00000000fC540e2000560054812452eB5366Zawsze porównuj je z oficjalnymi komunikatami i stroną Revoke.cash. Wokół dużych exploitów bardzo szybko pojawiają się fałszywe checkery, strony typu „NFT Recovery” i konta podszywające się pod support.
Czy setApprovalForAll daje dostęp do całego portfela?
Nie. To ważne, bo w social mediach łatwo o zbyt daleko idące uproszczenia.
Approval setApprovalForAll w przypadku ERC-721 dotyczy NFT należących do konkretnego kontraktu kolekcji. Nie oznacza automatycznie dostępu do wszystkich kryptowalut, wszystkich tokenów i wszystkich NFT znajdujących się w Twoim portfelu.
Nadal jest to jednak bardzo szerokie uprawnienie. Operator może zarządzać NFT należącymi do danej kolekcji bez konieczności zatwierdzania osobnego transferu za każdym razem. Podobny problem z podpisywaniem zgód opisywałem też przy luce w aplikacji Ethereum na Ledgerze.
Magic Eden już nie obsługuje EVM. Dlaczego więc problem nadal istnieje?
Magic Eden zakończył wsparcie dla swoich marketplace’ów EVM w marcu 2026 roku. To jednak nie oznacza automatycznego usunięcia approvali zapisanych wcześniej bezpośrednio na blockchainie.
Listing i approval to dwie różne rzeczy
Listing może wygasnąć albo zostać anulowany, podczas gdy approval operatora nadal pozostaje aktywny. Dlatego samo anulowanie oferty lub zmiana nonce nie musi rozwiązać problemu.
Czy skradziono NFT za miliony dolarów?
Tutaj trzeba uważać na liczby krążące w mediach społecznościowych.
Jedna z najlepiej udokumentowanych operacji whitehat obejmowała 3 832 NFT o wartości około 1,4 mln USD. Były to jednak aktywa zabezpieczone przez whitehata, więc tej kwoty nie należy przedstawiać jako potwierdzonych strat.
Skala potencjalnych działań faktycznych atakujących nadal była analizowana po wykryciu podatności.
W social mediach pojawiały się również wartości typu 23 tys. NFT i ponad 5 mln USD. Bez twardego potwierdzenia z danych on-chain lub oficjalnych źródeł nie warto przedstawiać ich jako ostatecznego bilansu incydentu.
Największa lekcja: approval może żyć latami
To jeden z elementów self-custody, o którym wiele osób zapomina.
Nie wystarczy uważać na to, co podpisujesz dzisiaj. Warto również co jakiś czas sprawdzać, co podpisałeś rok albo dwa lata temu.
- Sprawdzaj stare zgody do marketplace’ów NFT.
- Usuwaj approvale do aplikacji, z których już nie korzystasz.
- Regularnie kontroluj zgody DeFi, bridge’y i inne smart kontrakty.
- Nie klikaj przypadkowych checkerów publikowanych w komentarzach i wiadomościach prywatnych.
- Weryfikuj adresy kontraktów w kilku niezależnych źródłach.
Uważaj teraz szczególnie na phishing
Po takich wydarzeniach bardzo szybko pojawiają się oszuści próbujący wykorzystać strach użytkowników.
- Fałszywy support Magic Eden.
- Strony „Claim your recovered NFT”.
- Fałszywe kopie Revoke.cash.
- Wiadomości prywatne od rzekomych pracowników projektu.
- Prośby o seed phrase lub private key.
Jeżeli ktoś prosi o 12 lub 24 słowa, klucz prywatny albo namawia do podpisania nieznanej transakcji w celu „odzyskania NFT”, traktuj to jako próbę oszustwa. Więcej przykładów podobnych metod znajdziesz w materiale o scamie na „certyfikat portfela”.
Podsumowanie
Jeżeli korzystałeś z Magic Eden EVM w 2024 roku, szczególnie pomiędzy lutym a październikiem, sprawdź swoje stare approvale.
Najważniejsze są obecnie Ethereum, Polygon i Base, a dodatkowo warto sprawdzić Payment Processor V3 na ApeChain, jeżeli korzystałeś z tej sieci.
Nie zakładaj, że skoro listing został anulowany albo marketplace już nie działa, approval również zniknął.
Sprawdź. Zweryfikuj. Zrób REVOKE.
Oficjalny exploit checker
Zamiast klikać linki z komentarzy i wiadomości prywatnych, korzystaj bezpośrednio ze strony Revoke.cash.
revoke.cash/exploits/magic-edenDołącz do społeczności HajsoHolicy
Na kanałach HSH wrzucam bieżące alerty bezpieczeństwa, aktualizacje rynku, promocje i rzeczy, których często nie zdążę od razu rozwinąć w osobny artykuł.
Źródła
- Revoke.cash: Magic Eden / Limit Break exploit checker
- Limit Break: Payment Processor V2
- Magic Eden: Marketplace Updates & Service Changes
- Magic Eden Ethereum Marketplace launch
Stan informacji: 25 września 2026 r. Incydent pozostaje rozwojowy, dlatego dane dotyczące liczby zagrożonych NFT i ewentualnych strat mogą ulegać zmianie.
