白帽黑客转移3,832个NFT，旧版Magic Eden授权仍让用户面临风险

钱包安全服务机构Revoke.cash于9月25日发出警告：Magic Eden已关闭的以太坊市场相关的旧合约授权至今仍然生效，部分前用户的钱包因此面临风险。安全研究员0xQuit利用Limit Break的Payment Processor V2合约中的漏洞，以0 ETH成交价的形式转移了3832枚NFT。他称这是一次白帽救援行动，资产目前保存在托管钱包中，待安全后再归还用户。

事件来龙去脉

Magic Eden已于2026年3月9日终止其EVM市场支持，平台上的挂单和报价均为链下数据，此后不再可见或可操作。但问题在于：用户当年为使用该市场而授予Payment Processor合约的operator授权是记录在链上的。市场关闭并不会自动撤销这一独立权限，这意味着数月未在平台交易的用户，钱包里仍存有一份“活着”的授权。

所谓NFT operator授权，是指允许某个合约代表钱包转移资产的许可。这种为交易而授予的权限，其效力可以超过促成它的那笔挂单本身。因此，Revoke.cash强调，判断自己是否暴露，要看授权本身，而不是过去的成交记录。

哪些用户需要撤销授权

Revoke.cash给出的具体建议有两条：在以太坊上曾授权Payment Processor V2的用户应予以撤销；在ApeChain上曾授权Payment Processor V3的用户，也应撤销这一独立权限。

该机构同时澄清了几个常见误解：

• 取消挂单并不能保护已暴露的钱包；
• 在网站上“断开连接”钱包，链上授权依然有效；
• 撤销是预防性措施，只能减少未来风险，无法追回已被转走的资产。

警告通知中的事件页面提供了漏洞检查工具，用户可查询自己的地址是否受影响并直接撤销相关权限。需要说明的是，警告仅针对上述两款处理器的授权，并不代表以太坊和ApeChain两条链上都已发生实际损失。

损失规模尚未定论

截至9月25日通知发布时，漏洞的技术细节尚未公开，Revoke.cash也无法确认是否有恶意行为者实际窃取了NFT。3832枚这一数字仅统计了通知中报告的白帽转移，最终损失规模仍是未知数。

对持有旧授权的用户而言，眼下可执行的操作很明确：撤销对受影响处理器合约的访问权限。即便事件的完整结果尚未明朗，检查并清理历史授权这件事本身，已经足够紧迫。