MAGIC:白帽 rescue 保住23155枚NFT,Magic Eden漏洞涉570万美元资产

23,155枚NFT的白帽救援

答案先行:Magic Eden已停运的EVM市场因Limit Break的Payment Processor V2结算协议漏洞而暴露,白帽研究员抢先转移了23,155枚NFT,总价值超过570万美元。Magic Eden上周五发出警告,称其在2024年2月至10月前后挂单、覆盖Ethereum及其兼容链的NFT,仍面临Payment Processor V2漏洞的风险——这是一个NFT交易与结算协议。Yuga Labs区块链副总裁Quit(0xQuit)在X上发布长文披露,攻击者在美东时间上午9点利用该漏洞,盗取了10枚Meebits、50块Otherdeeds、10个World of Women NFT和235个Desperate ApeWives。Magic Eden于2024年采用该合约结算交易,同年10月停用,并在2026年初彻底关闭EVM市场——但残留的PayFi式结算授权让旧挂单始终处于风险之中。该公司声明:「Magic Eden当前的活跃挂单未受影响。」

数百个钱包被波及

最初的评估明显低估了影响范围。第一轮转移涉及数百个钱包中的3,832枚NFT——这一数字仅反映了应对行动开始后的头几个小时。此处所说的白帽救援,是指由可信的安全研究人员在攻击者出手之前,把易受攻击的资产转入安全托管、待风险解除后归还给原持有者的操作。按照0xQuit梳理的时间线,可疑漏洞在首次盗窃发生12个多小时后才被报告给Yuga Labs区块链团队,攻击者因此获得了相当长的先手机会。这一警告发布的前一天,不明黑客刚刚从Bitget交易所盗走超过3.8亿美元的Ethereum及其他资产,安全追踪机构称其为今年规模最大的加密货币黑客攻击。

白帽无需持有人签名即可转移资产,恰恰凸显了旧授权模式有多宽松。用户挂单NFT时,通常会向合约授予「全部批准」(approved for all)的扫转权限,且该权限在被明确撤销之前一直有效——这意味着任何能调用被攻陷结算路径的人,实际上就掌控了这些资产。Limit Break已暂停同样存在该漏洞的Payment Processor V3,但V2无法暂停,协同转移成了唯一可行的防御手段。自2024年起从未再使用过该市场的用户,可能仍在自己以为早已沉睡的合约上持有有效授权——这一风险正好落在私钥安全与市场基础设施的交汇点上。

Magic Eden的「先撤销」应对

Magic Eden的指引毫不含糊:凡在其EVM市场挂单或交易过的用户,应使用Revoke.cash在Ethereum、Polygon和Base上撤销V2合约的「全部批准」授权。公司同时提醒,撤销授权无法找回已被转走的代币,而2024年10月之后创建的挂单预计不受影响。Magic Eden还确认,其于2024年10月停用Payment Processor V2,并于2026年第一季度关闭EVM市场,因此没有任何活跃挂单暴露在风险中。这个从Solana起家、依托自动做市商(AMM)流动性池崛起、随后扩展至多链的市场,已于2月放弃Ethereum和Bitcoin支持,转而聚焦Solana及其加密赌场Dicey。

救援收尾时仍有660 WETH未能追回

最终统计既显示了行动的规模,也显示了代价。Yuga Labs首席执行官Michael Figge表示,漏洞在应对行动开始前数小时才被发现;0xQuit确认,总计23,155枚NFT、价值超过570万美元的资产被转移到安全地址,持有者在撤销授权后即可领回。约660枚WETH暴露于该漏洞的反向利用路径,未能在关键时刻追回。Quit公布了Payment Processor V2(Ethereum)和V3(ApeChain)的合约地址供用户撤销授权,Magic Eden则表示将继续与Limit Break合作研究进一步缓解措施。已追回的NFT集中托管在一个以0x71cF开头的地址,等待安全归还。

沉睡授权才是真正的攻击面

一个专门的认领网站现已上线,持有者可在其上领回获救代币。0xQuit周六晚间宣布,该门户托管于nftsaresafu.xyz——这是唯一官方地址,用户已被提醒警惕私信中传播的仿冒「认领」网站——持有者可在撤销引发此次事故的Payment Processor授权后,免费领回NFT(仅需支付常规gas费)。公告发布时,26,448个获救资产中约有2,357个已被认领。持有ERC721C或ERC1155C系列的用户可能遭遇转账检查拦截,需要调整设置或将该网站加入白名单,相关修复将在未来几天内推出。OpenSea联合创始人Alex Atallah表示,其团队已将超过3,000件物品标记为被盗以阻止转售。希望实时跟踪行情的读者,可在Binance查看现货与期货的实时价格。

（截至 17:42 UTC） (截至UTC时间17:42)把这些进展放在一起看,勾勒出的是同一条弧线:一个被沉睡授权维持着「生命体征」的沉睡市场。COINOTAG对一手记录——0xQuit本人的帖文及已公布的合约地址,它们实际上扮演了事件存档的角色——的核查,确认了核心数字:23,155枚NFT获得保护、价值570万美元以上,首轮扫转3,832枚,另有660枚WETH因反向路径而损失。白帽救援实质上是一种非正式的DeFi保险:无需保单、无需保费,由社区自行运作的损失缓解机制。对持有者而言,真正的教训是流程性的,而非投机性的——在早已转型或关闭的平台上多年前授予的授权,在撤销之前始终是活的攻击面。