兩年前掛過單也能害你？Magic Eden 舊授權遭漏洞波及，白帽急救 2.3 萬枚 NFT 、價值逾 570 萬美元

Magic Eden 9 月 25 日證實，其昔日 EVM 市場所採用的 Limit Break Payment Processor V2 出現漏洞；受影響的主要是約在 2024 年 2 月至 10 月期間曾於 Magic Eden EVM 市場掛單或交易、而且至今仍保留舊合約授權的錢包。 Magic Eden 表示，公司已於 2024 年 10 月停止使用 Payment Processor V2，並於 2026 年第一季關閉 EVM 市場，因此今次事故沒有影響任何現行 Magic Eden 掛單。

白帽搶在攻擊者前面，救走 23,155 枚 NFT

事件最初源於攻擊者利用漏洞，以近乎零成本轉走獲授權錢包中的 NFT 。

Yuga Labs 區塊鏈副總裁、白帽研究員 0xQuit 表示，首批惡意攻擊涉及 10 枚 Meebits 、 50 枚 Otherdeeds 、 10 枚 World of Women，以及 235 枚 Desperate ApeWives，合計至少 305 枚 NFT 。

在確認漏洞可能波及更大量舊錢包後，0xQuit 與其他安全研究人員展開白帽救援，把仍處於風險中的資產先轉移至安全錢包。 0xQuit 最終表示，共救出 23,155 枚 NFT，估值超過 570 萬美元。這些 NFT 暫時轉移至託管地址；待原持有人撤銷有問題的舊授權後，再安排返還。

為什麼兩年前掛過單，今天還會出事？

真正問題不是舊掛單本身，而是鏈上授權沒有自動失效。 NFT 市場要替用戶完成交易，通常需要用戶向交易合約授予「全部批准」（Approve for All）權限，讓該合約能代表錢包轉移指定 NFT 系列的資產。

Limit Break 官方 Payment Processor V2 文件亦顯示，協議本身支援 NFT 掛單、報價，以及授權 Payment Processor 轉移 ERC-721／ERC-1155 NFT 。問題在於取消掛單、停止使用市場，甚至市場關站，都不等於撤銷鏈上 approval 。只要用戶沒有另外發送交易撤銷權限，相關 smart contract 仍可能保留轉移資產的能力。即使 Magic Eden 已經接近兩年前停止使用 Payment Processor V2，當年留下授權的錢包仍可能暴露在漏洞之下。

不只 NFT：另有 660 枚 WETH 未能及時救回

事故影響亦不只 NFT 。 0xQuit 表示，研究人員其後發現漏洞還可以反向利用，針對曾向合約授權 Wrapped Ether（WETH）的錢包，使其被迫以 WETH 購入幾乎沒有價值的 NFT 。他表示約有 660 WETH 處於風險中，救援團隊未能及時全部保住。

撰文時，CoinGecko 數據顯示，以太幣（ETH）約報 2,689 美元，24 小時上升約 0.5% 。按 WETH 與 ETH 大致 1:1 計價，660 枚 WETH 約值 177 萬美元。

截至目前，各來源對最終 WETH 實際「被盜」數量仍未完全一致；0xQuit 的 660 枚是事件初期披露的風險／未能救回數字，完整的鏈上損失仍有待 Limit Break 或獨立安全機構發布正式事後報告。

這宗事故發生之際，NFT 市場規模已遠低於上一輪牛市高峰。 CoinGecko 最新統計顯示，全球受追蹤 NFT 收藏品總市值目前約 22.2 億美元，24 小時變動約 +1.57%，單日 NFT 銷售額約 364 萬美元。單是今次被白帽轉移保護的 570 萬美元 NFT，其估值甚至高於 CoinGecko 所統計的全市場單日 NFT 銷售額。

Magic Eden 要求舊用戶立即撤銷授權

Magic Eden 已呼籲過去曾使用其 EVM 市場的用戶，檢查並撤銷 Payment Processor V2 在：Ethereum 、 Polygon 及 Base 上的舊授權。

其中 Ethereum 上的 Payment Processor V2 合約地址為：0x9A1D00bEd7CD04BCDA516d721A596eb22Aac6834

安全研究人員亦提醒，除了 NFT 的「全部批准」權限外，用戶亦應檢查 WETH 等 ERC-20 代幣是否仍然存在舊有 spending allowance 。

這次事件並非 Magic Eden 是否仍使用該合約，而是 Web3 一項經常被忽視的結構性風險：平台可以關閉，掛單可以取消，但鏈上 approval 不會因此自動消失。只要舊 smart contract 日後被發現漏洞，數年前曾經與它互動、卻沒有撤銷授權的錢包仍可能重新成為攻擊目標。

對 NFT 市場而言，這亦意味錢包安全不能只聚焦「不要點釣魚連結」；定期清理不再使用的 NFT operator approval 與 ERC-20 allowance，同樣屬於基本風險管理。

〈兩年前掛過單也能害你？Magic Eden 舊授權遭漏洞波及，白帽急救 2.3 萬枚 NFT 、價值逾 570 萬美元〉這篇文章最早發佈於《區塊客》。

『新聞來源／區塊客 blockcast https://blockcast.it/』

發佈者對本文章的內容承擔全部責任
在投資加密貨幣前，請務必深入研究，理解相關風險，並謹慎評估自己的風險承受能力。不要因為短期高回報的誘惑而忽視潛在的重大損失。