Magic Eden NFT patvirtinimai kelia pavojų vartotojams
„Old Magic Eden NFT“ patvirtinimai vis dar gali kelti pavojų kai kuriems buvusiems naudotojams praėjus mėnesiams po to, kai bendrovė uždarė „Ethereum“ prekyvietę. Piniginės saugos tarnybos Revoke.cash rugsėjo 25 d. įspėjime teigiama, kad Limit Break mokėjimo procesoriaus V2 pažeidžiamumas paveikia pinigines, kurios vis dar leidžia sutartyje perkelti NFT. Tie patvirtinimai išlieka aktyvūs, kol savininkai juos atšaukia.
Pranešime sakoma, kad saugumo tyrinėtojas 0xQuit pasinaudojo pažeidžiamumu, kad iš patvirtintų piniginių perkeltų 3 832 NFT kaip nulinį ETH pardavimą. Jis apibūdino perkėlimus kaip „whitehat“ gelbėjimą ir teigė, kad turtas buvo laikomas piniginėje, kol buvo saugu juos grąžinti, rašo „Revoke.cash“. Skaičiai apima pranešime nurodytus pervedimus; tarnyba nenustatė, kiek NFT paėmė kenkėjiški veikėjai, jei tokių buvo.
2026 m. kovo 9 d. „Magic Eden“ nutraukė EVM prekyvietės palaikymą. Jos sąrašai ir pasiūlymai buvo ne tinkle ir nustojo būti matomi arba su jais galima pasinaudoti svetainėje. Tačiau operatorius patvirtino, kad procesorius egzistuoja grandinėje. Turgavietės uždarymas neatšaukė šio atskiro leidimo, todėl žmonėms, kurie ten neprekiavo mėnesius, liko tiesioginė informacija.
Kuriuos Magic Eden NFT patvirtinimus vartotojai turėtų atšaukti?
„Revoke.cash“ sako, kad vartotojai turėtų atšaukti „Ethereum“ mokėjimo procesoriaus V2 patvirtinimą. Tai taip pat įspėja visus, kurie patvirtino „ApeChain“ mokėjimo procesorių V3, atšaukti tą atskirą leidimą. NFT operatoriaus patvirtinimas leidžia pagal sutartį perkelti turtą piniginės vardu. Leidimas, suteiktas prekybai prekyvietėje, gali trukti ilgiau, nei paskelbtas įrašas, todėl buvę naudotojai turi patikrinti patį patvirtinimą, o ne seną pardavimo istoriją.
Sąrašo atšaukimas neapsaugos atviros piniginės, sakė Revoke.cash. Jo DUK taip pat paaiškina, kad atjungus piniginę nuo svetainės, tinklo patvirtinimai lieka aktyvūs. Įvykio puslapyje yra išnaudojimo tikrintuvas, kad vartotojai galėtų patikrinti, ar jų adresas yra paveiktas, ir atšaukti atitinkamą leidimą. Įspėjimas taikomas nurodytų procesorių patvirtinimams; nenustatyta, kad tiek Ethereum, tiek ApeChain patyrė nuostolių. DUK sakoma, kad atšaukimas yra prevencinis žingsnis: jis sumažina būsimą poveikį, bet neatgauna jau panaudoto turto. Dėl šio skirtumo reikia skubiai patikrinti senus leidimus, net jei visi incidento rezultatai nežinomi.
Techninės gedimo detalės nebuvo paskelbtos Revoke.cash rugsėjo 25 d. pranešime, o tarnyba teigė, kad liko neaišku, ar piktavališki veikėjai paėmė NFT. Pranešus apie gelbėjimą, galutinis nuostolių skaičius neišspręstas. Savininkams, kurių patvirtinimai išlieka, įspėjime nurodytas veiksmas yra atšaukti prieigą prie paveiktų procesoriaus sutarčių.
