• نقل منقذون من أصحاب القبعات البيضاء 23,155 NFT بقيمة تتجاوز 5.7 مليون دولار خلال الاستجابة لاختراق Magic Eden.

• سرق مهاجم 10 Meebits و50 Otherdeeds و10 World of Women و235 Desperate ApeWives عبر Payment Processor V2.

• نقلت الفرق البيضاء 3,832 NFT من مئات المحافظ ضمن عملية الإنقاذ الأولية.

إنقاذ أصحاب القبعات البيضاء لـ 23,155 NFT

حذّرت Magic Eden يوم الجمعة من أن NFTs المدرجة في سوق EVM الخاص بها والذي أصبح مغلقًا الآن — ويغطي Ethereum والسلاسل المتوافقة معه — خلال الفترة من نحو فبراير إلى أكتوبر 2024 لا تزال عرضة لاستغلال في معالج المدفوعات V2 لدى Limit Break، وهو بروتوكول لتداول و تسوية NFTs. كشف نائب رئيس Yuga Labs لشؤون البلوك تشين Quit (0xQuit) في منشور تفصيلي على X أن مهاجمًا استغل هذه الثغرة في تمام الساعة 9 صباحًا بتوقيت شرق الولايات المتحدة لسرقة 10 Meebits و50 Otherdeeds و10 World of Women و235 Desperate ApeWives. اعتمدت Magic Eden العقد لتسوية الصفقات في 2024، وتوقفت عن استخدامه في أكتوبر من ذلك العام، وأغلقت سوق EVM بالكامل في أوائل 2026 — ومع ذلك فإن أذونات التسوية المتبقية على نمط PayFi أبقت القوائم القديمة في خطر. قالت الشركة: “لم تتأثر أي إدراجات مباشرة على Magic Eden”.

مئات المحافظ التي تم الوصول إليها

أشارت المؤشرات المبكرة إلى نطاق الانفجار بأقل من حقيقته. نقل المسح الأول 3,832 NFT من مئات المحافظ — وهو رقم التقط فقط الساعات الأولى من الاستجابة. في هذا السياق، يكون الإنقاذ بواسطة رجال القبعة البيضاء عملية يقوم فيها باحثون أمنيون موثوقون بنقل الأصول القابلة للخطر إلى حيازة آمنة قبل أن يتمكن المهاجمون من الوصول إليها، ثم يعيدونها بمجرد زوال الخطر. تم الإبلاغ عن الثغرة المشتبه بها إلى فريق البلوك تشين لدى Yuga Labs بعد أكثر من 12 ساعة من السرقة الأولية، وفقًا لخط زمني لـ 0xQuit، ما منح المهاجم فرصة مبكرة طويلة. وصلت أيضًا هذه التحذيرات بعد يوم من استنزاف قراصنة مجهولون لأكثر من 380 مليون دولار في الإيثريوم وأصول أخرى من بورصة Bitget، وهو ما تصفه جهات تتبع أمنية بأنه أكبر اختراق للعملات المشفرة في العام.

إن قدرة رجال القبعة البيضاء على نقل الأصول دون توقيعات المالكين تُبرز مدى تساهل نموذج الموافقات القديم. عندما يسرد المستخدمون NFTs، فإنهم عادةً يمنحون عقدًا يقوم بمسح “مصرّح به للجميع” لتحريك رموزهم، وتبقى هذه الصلاحية فعّالة حتى يتم إلغاؤها صراحةً — ما يعني أن أي شخص يستطيع استدعاء مسار التسوية المتضرر يتحكم فعليًا في الأصول. أوقفت Limit Break معالج الدفع V3 الذي حمل العيب نفسه، لكن لم يمكن إيقاف V2، ما ترك النقل المنسق كوسيلة دفاع وحيدة. قد يظل المستخدمون الذين لم يزوروا السوق منذ 2024 يحملون صلاحيات مباشرة على عقود يفترضون أنها خاملة — وهو خطر يقف مباشرةً عند تقاطع أمن المفاتيح الخاصة مع “بنية” السوق.

إزالة صلاحية قبل الرد من Magic Eden

إرشادات Magic Eden لا لبس فيها: يجب على أي شخص قام بإدراج أو تداول على سوق EVM الخاص بها إلغاء صلاحيات “approved for all” لعقد V2 على Ethereum وPolygon وBase باستخدام Revoke.cash. حذرت الشركة من أن الإلغاء لن يعيد الرموز التي تم نقلها بالفعل، وأن الإدراجات التي تم إنشاؤها بعد أكتوبر 2024 يُتوقع ألا تتأثر. كما أكدت أنها توقفت عن استخدام Payment Processor V2 في أكتوبر 2024 وأغلقت سوق EVM في الربع الأول من 2026، لذلك لم تُعرَض أي إدراجات نشطة. السوق، الذي ارتفع على Solana عبر تجمعات سيولة صانع السوق الآلي (AMM) قبل التوسع متعدد السلاسل، أسقط دعم Ethereum وBitcoin في فبراير للتركيز على Solana وكازينو العملات المشفرة الخاص بها، Dicey.

لم يتم استرداد 660 WETH مع إغلاق عملية الإنقاذ

تُظهر الحصيلة النهائية حجم العملية وتكلفتها. قال الرئيس التنفيذي لدى Yuga Labs، Michael Figge، إن الثغرة تم تحديدها قبل ساعات فقط من بدء الاستجابة، بينما أكد 0xQuit أنه إجمالًا تم نقل 23,155 NFT بقيمة تتجاوز 5.7 مليون دولار إلى بر الأمان، مع تمكّن المالكين من استعادتها بعد إلغاء الموافقات. تم كشف نحو 660 WETH أمام نسخة عكسية من الاستغلال، ولم يكن بالإمكان استردادها في الوقت المناسب. نشر Quit عناوين عقود Payment Processor V2 (Ethereum) وV3 (ApeChain) للمستخدمين لإلغاء صلاحياتهم، وقالت Magic Eden إنها تواصل التحقيق إلى جانب Limit Break في مزيد من التخفيف. تم تجميع NFTs المستردة في عنوان يبدأ بـ 0x71cF ريثما يتم إعادتها بأمان.

الموافقات الخاملة هي السطح الحقيقي للهجوم

اقرأ هذه التطورات معًا، سيتضح أنها ترسم قوسًا واحدًا: سوق خامد تم الحفاظ عليه بصلاحيات خامدة. تؤكد قراءة COINOTAG للبيان الأساسي — منشور 0xQuit نفسه وعناوين العقود المنشورة، التي تعمل كإشعار رسمي ضمني للحادث — الأرقام الجوهرية: تم حماية 23,155 NFT فوق 5.7 مليون دولار، وتم نقل 3,832 في المسح الافتتاحي، وخُسرت 660 WETH للمسار العكسي. تعمل عمليات الإنقاذ بواسطة رجال القبعة البيضاء كنوع غير رسمي من تأمين DeFi: تخفيف خسائر يديره المجتمع دون وثيقة تأمين أو قسط. الدرس الأهم لحاملي NFTs هو درس إجرائي لا تخميني: الموافقات الممنوحة قبل سنوات على منصات تحولت أو أغلقت منذ ذلك الحين تظل سطح هجوم نشطًا حتى يتم إلغاؤها.