Eine Schwachstelle in Limit Breaks Payment Processor V2 veranlasste den Sicherheitsforscher 0xQuit dazu, 3.832 NFTs bei Verkäufen ohne ETH aus freigegebenen Wallets zu übertragen, wie Revoke.cash am 25. September warnte. Der Forscher bezeichnete die Transfers als Whitehat-Rettungsaktion und erklärte, die NFTs würden in einer Verwahrungs-Wallet aufbewahrt, bis sie sicher zurückgegeben werden könnten. Revoke.cash konnte bislang nicht feststellen, ob Angreifer NFTs entwendet haben.
Warum das wichtig ist
Magic Eden stellte den Support für seinen Ethereum-Marktplatz am 9. März 2026 ein. Die Onchain-Betreiberfreigaben der Nutzer für den Zahlungsdienst wurden dadurch jedoch nicht widerrufen. Diese Berechtigungen können aktiv bleiben, bis die Wallet-Inhaber sie widerrufen, selbst wenn Angebote und Gebote auf dem Marktplatz nicht mehr sichtbar oder ausführbar sind. Auch das Trennen einer Wallet von einer Website oder das Löschen eines Angebots hebt eine Onchain-Freigabe nicht auf.
Revoke.cash rät ehemaligen Nutzern, die Freigabe für Payment Processor V2 auf Ethereum zu widerrufen. Nutzer, die Payment Processor V3 auf ApeChain freigegeben haben, sollten laut Warnung auch diese separate Berechtigung widerrufen. Die Warnung weist auf gefährdete Freigaben hin, belegt aber nicht, dass es auf beiden Netzwerken zu Verlusten gekommen ist.
Auswirkungen auf den Markt
Die gemeldeten 3.832 NFTs sind die Zahl der bei der Rettungsaktion übertragenen Token und keine bestätigte Zahl gestohlener Assets. Laut Revoke.cash enthält die Seite zum Vorfall einen Prüfer, mit dem Nutzer feststellen können, ob eine Adresse betroffen ist, und die entsprechende Freigabe widerrufen können.
Ein Widerruf dient der Vorsorge: Er begrenzt künftige Risiken, kann aber bereits entwendete Assets nicht zurückholen. Die technischen Details der Schwachstelle und die endgültige Verlustsumme sind noch ungeklärt. Ehemalige Nutzer sollten daher vor allem die Freigabe selbst überprüfen.
Häufig gestellte Fragen
-
Warum sind ehemalige Magic-Eden-Nutzer weiterhin dem Risiko ausgesetzt, ihre NFTs zu verlieren?
Mit der Schließung des Ethereum-Marktplatzes wurden die Onchain-Betreiberfreigaben für den Zahlungsdienst nicht aufgehoben. Sie bleiben aktiv, bis die Wallet-Inhaber sie widerrufen.
-
Was geschah mit den 3.832 NFTs?
Der Forscher 0xQuit übertrug sie bei Verkäufen ohne ETH aus freigegebenen Wallets und bezeichnete die Aktion als Whitehat-Rettung. Bis zur sicheren Rückgabe wurden die NFTs in einer Verwahrungs-Wallet aufbewahrt.
-
Welche Freigaben sollten Nutzer laut Revoke.cash widerrufen?
Revoke.cash rät, die Freigabe für Payment Processor V2 auf Ethereum zu widerrufen. Wer Payment Processor V3 auf ApeChain freigegeben hat, sollte auch diese Berechtigung widerrufen.
-
Wird eine Freigabe aufgehoben, wenn man eine Wallet trennt oder ein Angebot löscht?
Nein. Laut Revoke.cash hebt weder das Trennen einer Wallet von einer Website noch das Löschen eines Angebots eine Onchain-Betreiberfreigabe auf.
-
Kann ein Widerruf bereits entwendete NFTs zurückholen?
Nein. Ein Widerruf dient der Vorsorge und verringert künftige Risiken, kann aber bereits entwendete Assets nicht zurückholen. Revoke.cash konnte nicht feststellen, ob Angreifer NFTs entwendet haben.
TheBlock
CoinTelegraph
WuBlockchain
CoinDesk