Magic Eden 披露，其 EVM 市场遗留的授权合约让价值超过 570 万美元的 NFT 暴露在 Limit Break Payment Processor V2 的攻击面前，部分藏品已被黑客盗走。白帽随后介入，抢救了 23,155 枚 NFT，避免损失继续扩大。
漏洞来自 2024 年遗留授权
Magic Eden 在 X 平台表示，2024 年 2 月至 10 月期间于其 EVM 市场上架的 NFT，当时使用 Limit Break Payment Processor V2 作为支付处理合约。虽然 Magic Eden 已在 2024 年 10 月停止使用该处理器，并在 2026 年第一季度关闭 EVM 市场，但用户此前授予的合约授权并未同步撤销，由此形成遗留授权漏洞。
Magic Eden 还强调，没有活跃挂单受到影响，也就是说当前平台上的交易未受这次事件波及，风险主要落在过去使用过该市场的老用户身上。
已确认被盗的 NFT
据 Yuga Labs 区块链副总裁 0xQuit 说法，黑客已利用该漏洞盗走 10 枚 Meebits、50 枚 Otherdeeds、10 枚 World of Women，以及 235 枚 Desperate ApeWives。这些资产均来自知名 NFT 项目。
0xQuit 还表示，Limit Break 已紧急暂停同样受相同 bug 影响的 Payment Processor V3，但由于设计限制，V2 合约无法暂停，风险窗口因此持续存在。
白帽抢救 23,155 枚 NFT，660 枚 WETH 未能追回
面对 V2 无法暂停的情况，白帽启动抢救操作，共回收 23,155 枚 NFT，价值超过 570 万美元。
不过，抢救并未覆盖全部受影响资产。0xQuit 指出，另一种利用同一漏洞的方式可以窃取 WETH，导致 660 枚 WETH 暴露在风险中。按当时币价估算，这部分资产约合 150 万至 200 万美元，白帽团队未能及时追回。
受影响用户需要撤销授权
Magic Eden 呼吁所有在 2024 年 2 月至 10 月期间，曾在其 EVM 市场上架 NFT 的用户，立即在 Ethereum、Polygon、Base 三条链上撤销对 Limit Break Payment Processor V2 的合约授权。平台表示，完成撤销后，被白帽抢救的 NFT 才能安全取回。
在操作方式上，Magic Eden 建议用户通过 Revoke.cash 或 DeBank 等授权管理工具，检查钱包中是否仍保留对相关合约的 approve 记录。
遗留授权风险再次暴露
这起事件再次显示出 Web3 里长期存在的一类结构性风险：合约授权一旦给出，若用户不手动撤销，授权状态就会持续存在。即便 Magic Eden 已停用相关处理器，并关闭了 EVM 市场，历史授权记录仍然可能成为攻击入口。
原文还提到，2024 年 CoW Swap 前端攻击、OpenSea 授权漏洞等案例，都反映出同一个问题：平台或协议的关停与升级，并不会自动清理用户已经给出的授权状态。