Una vulnerabilidad en Payment Processor V2, de Limit Break, llevó al investigador de seguridad 0xQuit a transferir 3.832 NFT desde carteras autorizadas en ventas por 0 ETH, según una alerta de Revoke.cash del 25 de septiembre. El investigador describió las transferencias como un rescate white hat y afirmó que los NFT se mantenían en una cartera de custodia hasta poder devolverlos de forma segura. Revoke.cash no ha determinado si algún actor malicioso se llevó NFT.
Por qué importa
Magic Eden dejó de dar soporte a su mercado de Ethereum el 9 de marzo de 2026, pero eso no revocó las aprobaciones onchain de operador que los usuarios habían concedido al procesador. Esos permisos pueden seguir activos hasta que los propietarios de las carteras los revoquen, aunque los anuncios y las ofertas del mercado ya no sean visibles ni se puedan ejecutar. Desconectar una cartera de un sitio web o cancelar un anuncio tampoco elimina una aprobación onchain.
Revoke.cash recomienda a los antiguos usuarios revocar la aprobación de Payment Processor V2 en Ethereum. También advierte a quienes aprobaron Payment Processor V3 en ApeChain que revoquen ese permiso por separado. La alerta identifica permisos expuestos, pero no demuestra que se hayan producido pérdidas en ambas redes.
Impacto en el mercado
Los 3.832 NFT mencionados corresponden a los que se trasladaron durante el rescate, no a una cifra confirmada de activos robados. Revoke.cash afirma que su página del incidente incluye una herramienta para que los usuarios comprueben si una dirección está afectada y revoquen la aprobación pertinente.
La revocación es una medida preventiva: limita la exposición futura, pero no permite recuperar los activos que ya se hayan llevado. Los detalles técnicos del fallo y la cifra final de pérdidas aún no están claros, por lo que lo principal para los antiguos usuarios es comprobar la aprobación.
Preguntas frecuentes
-
¿Por qué los antiguos usuarios de Magic Eden aún pueden tener sus NFT expuestos?
El cierre del mercado de Ethereum no anuló las aprobaciones onchain de operador para su procesador de pagos. Esos permisos siguen activos hasta que los propietarios de las carteras los revoquen.
-
¿Qué ocurrió con los 3.832 NFT?
El investigador 0xQuit los trasladó desde carteras autorizadas en ventas por 0 ETH y describió la acción como un rescate white hat. Los NFT se guardaban en una cartera de custodia a la espera de poder devolverlos de forma segura.
-
¿Qué aprobaciones recomienda revocar Revoke.cash?
Recomienda revocar la aprobación de Payment Processor V2 en Ethereum y, por separado, la de Payment Processor V3 a quienes la aprobaron en ApeChain.
-
¿Desconectar una cartera o cancelar un anuncio elimina una aprobación?
No. Revoke.cash afirma que desconectar una cartera de un sitio web y cancelar un anuncio no eliminan una aprobación onchain de operador.
-
¿Revocar una aprobación permite recuperar los NFT que ya se hayan llevado?
No. La revocación es preventiva y reduce la exposición futura, pero no permite recuperar los activos que ya se hayan llevado. Revoke.cash no ha determinado si algún actor malicioso se llevó NFT.
CoinDesk
CZ Binance
TheBlock
Crypto News
WuBlockchain