Если вы торговали или листили NFT на Magic Eden в 2024 году, ваши NFT и WETH находятся под угрозой.
📝 ЧТО СДЕЛАТЬ ПРЯМО СЕЙЧАС
• Переходим на Revoke.cash (или Etherscan).
• Проверяем сети Ethereum, Polygon, Base и ApeChain.
• Находим и отзываем все разрешения (Revoke) для контрактов:
-
0x9A1D00bEd7CD04BCDA516d721A596eb22Aac6834 (Ethereum / EVM V2) -
0x9a1D00000000fC540e2000560054812452eB5366 (ApeChain V3)Снимаем все галочки «Approved for all» на NFT и обнуляем аппрувы на WETH.
📖 А теперь разберемся, что вообще произошло:
Ночью в крипто-твиттере началась паника, с кошельков пользователей начали массово улетать NFT по нулевой цене (всего выгребли 24 577 NFT на $6M+).
Оказалось, что всплыла дыра в старом контракте Limit Break Payment Processor V2, который Magic Eden использовал для EVM-сделок. Все, кто когда-то давал контракту бессрочный аппрув («Approve for all»), оказались открыты для списания активов. Баг позволял оформлять сделки за $0 и забирать разрешенный к списанию WETH.
К счастью, основную массу NFT успели вытащить «белые хакеры» (whitehats, в том числе @0xQuit из Yuga Labs). Они опередили реальных взломщиков и смогли таким образом сохранить НФТ и обещают вернуть их владельцам.
➰Плохая новость в том, что хакеры успели увести около 660 WETH. Вот эти деньги вернуть уже не получится.
Мораль сей басни такова... заведите привычку регулярно чистить старые разрешения на Revoke, ну и проверьте имеющиеся апрувы.