Magic Eden 或许已经告别以太坊，但其多链时代的遗留影响仍在波及部分老用户。

该市场于周五警告称，2024 年 2 月至 10 月期间在其现已关闭的 EVM 市场上架的 NFT，可能受到 Payment Processor V2 漏洞的影响。Payment Processor V2 是由 Limit Break 构建和维护的 NFT 交易协议。EVM 指以太坊及与之兼容的区块链。Magic Eden 于 2024 年采用该 Limit Break 合约来结算交易，同年 10 月停止使用，并于 2026 年初彻底关闭了其 EVM 市场。

"此次漏洞未影响任何 Magic Eden 当前有效的挂单," 该公司在 X 上表示。

问题在于残留的代币授权。用户上架 NFT 出售时，通常会授予智能合约转移资产的权限，而该权限在被手动撤销之前一直有效。由于这些权限是由用户自己的钱包授予的，关闭市场并不会使其失效——这也是为什么在 Magic Eden 退出 EVM 链之前结算的交易仍可能构成风险。Magic Eden 敦促所有曾在其 EVM 市场上架或交易的用户，使用代币授权管理工具 Revoke.cash 在以太坊、Polygon 和 Base 上撤销 V2 合约的 "approved for all"（全部授权）权限——即允许合约一次性转移钱包中任意 NFT 的总体授权，而非逐个代币授权。该公司提醒，撤销授权无法找回已被转移的代币。

白帽行动挽救 23,155 个 NFT

Yuga Labs 区块链副总裁 0xQuit 在 X 上的一篇帖子中详细说明了此次事件，称攻击者利用该漏洞窃取了 10 个 Meebits、50 个 Otherdeeds、10 个 World of Women NFT 以及 235 个 Desperate ApeWives。Meebits 和 Otherdeeds 均为 Yuga Labs 旗下的系列。

"At 9AM EST today somebody abused a bug in Payment Processor V2 to steal 10 Meebits, 50 Otherdeeds, 10 WoW, and 235 Desperate Apewives. It wasn't until over 12 hours later that somebody reported it to me, and upon digging in I realized that a great many NFTs were subject to the…" pic.twitter.com/Vue8TUyMD2

— Quit (@0xQuit) September 25, 2026

由于该盗窃事件超过 12 小时无人上报，0xQuit 表示他在深入调查后才发现更大范围的暴露风险。

Limit Break 暂停了存在相同缺陷的 Payment Processor V3，但 V2 无法暂停——这意味着没有协议层面的关闭开关，用户端撤销授权成为消除风险敞口的唯一途径。这迫使了一场白帽行动——由友好的黑客在攻击者得手之前将存在风险的资产转移到安全地带。

"总而言之，我们挽救了价值超过 570 万美元的 23,155 个 NFT," 0xQuit 写道。据 0xQuit 称，所有者在撤销授权后即可领回被挽救的代币。

然而，并非所有资产都能追回。660 个 wrapped Ethereum（WETH，NFT 交易中常用的 ETH 代币化形式）因暴露于该漏洞的反向利用版本而未能及时获救。

Magic Eden 撤出以太坊和比特币

正如该公司当时 所宣布的，Magic Eden 于 2 月停止支持以太坊和比特币，以专注 Solana 及其加密娱乐场 Dicey。此后，它又逐步关停了其多链钱包。

此次事件正值加密用户的艰难时期。就在一天前，未知黑客从 Bitget 交易所窃取了超过 3.8 亿美元的以太坊及其他加密资产，这是今年迄今为止最大的加密货币黑客事件，Decrypt 此前已报道。