Magic Eden 或許已轉離以太坊，但其多鏈時代遺留的後果仍影響著部分老用戶。

該市場於週五警告，2024 年 2 月至 10 月間在其已關閉的 EVM 市場上架的 NFT,可能曝險於 Payment Processor V2 的漏洞攻擊，這是由 Limit Break 開發和維護的 NFT 交易協議。EVM 指的是以太坊及與其相容的區塊鏈。Magic Eden 於 2024 年採用該 Limit Break 合約進行交易結算，同年 10 月停用，並於 2026 年初完全關閉其 EVM 市場。

「本次漏洞攻擊未影響任何 Magic Eden 的現行掛單，」該公司在 X 上表示。

問題出在殘留的代幣授權。當用戶上架 NFT 出售時，通常會授予智能合約轉移資產的權限，而該權限在被手動撤銷之前一直有效。由於這些授權是用戶從自己的錢包中授予的，關閉市場並不會取消它們——這也是為什麼在 Magic Eden 退出 EVM 鏈之前結算的交易仍可能構成風險。Magic Eden 呼籲曾在其 EVM 市場上架或交易過的任何人，使用代幣授權管理工具 Revoke.cash,在 Ethereum、Polygon 和 Base 上撤銷 V2 合約的「approved for all」授權——這是一種全面性授權，允許合約轉移錢包中的任何 NFT,而不僅是單一代幣。該公司並提醒，撤銷授權無法追回已被轉移的代幣。

白帽救援行動搶救 23,155 個 NFT

Yuga Labs 區塊鏈副總裁 0xQuit 在一則 X 貼文中說明事件始末，指出攻擊者利用該漏洞竊取 10 個 Meebits、50 個 Otherdeeds、10 個 World of Women NFT 以及 235 個 Desperate ApeWives。Meebits 和 Otherdeeds 都屬於 Yuga Labs 旗下的收藏系列。

"At 9AM EST today somebody abused a bug in Payment Processor V2 to steal 10 Meebits, 50 Otherdeeds, 10 WoW, and 235 Desperate Apewives. It wasn't until over 12 hours later that somebody reported it to me, and upon digging in I realized that a great many NFTs were subject to the…" pic.twitter.com/Vue8TUyMD2

— Quit (@0xQuit) September 25, 2026

由於這起竊案超過 12 小時無人通報，0xQuit 表示他是在深入調查後才發現更大範圍的曝險。

Limit Break 暫停了同樣存在此缺陷的 Payment Processor V3,但 V2 無法被暫停——沒有協議層面的關閉開關，用戶端的授權撤銷成為唯一的補救方式。這迫使進行白帽救援——即由友好的駭客在攻擊者得手前將脆弱資產轉移到安全位置的行動。

「總計我們搶救了 23,155 個價值超過 570 萬美元的 NFT,」0xQuit 寫道。據 0xQuit 表示，持有人在撤銷授權後即可取回被救回的代幣。

不過並非所有資產都能追回。660 個 wrapped Ethereum(WETH,一種在 NFT 交易中常用的 ETH 代幣化形式)曝險於該漏洞的反向版本，未能及時獲救。

Magic Eden 退出以太坊與比特幣

Magic Eden 於二月取消了 Ethereum 和比特幣支援，轉而專注於 Solana 及其加密賭場 Dicey,該公司當時曾宣布此決定。隨後又逐步終止了其多鏈錢包服務。

此次事件發生在加密用戶處境艱難之際。就在一天前，不明駭客從 Bitget 交易所竊取了超過 3.8 億美元的 Ethereum 及其他加密資產，這已成為今年規模最大的加密貨幣駭客攻擊事件，Decrypt 曾報導。