Aprovações esquecidas deixam NFTs de antigo mercado da Magic Eden vulneráveis a ataque

Usuários que colocaram NFTs à venda no extinto mercado EVM da Magic Eden entre fevereiro e outubro de 2024 receberam um alerta da empresa nesta sexta-feira. Segundo o Decrypt, esses ativos podem estar expostos a uma falha no Payment Processor V2, protocolo de negociação de NFTs desenvolvido pela Limit Break.

O problema está nas permissões que continuam ativas nos contratos inteligentes. Quando alguém anuncia um NFT em um marketplace, concede ao contrato autorização para transferir aquele ativo no momento da venda. Essa autorização, porém, não expira sozinha: ela permanece válida até ser revogada manualmente pelo dono da carteira. Assim, mesmo que a plataforma tenha deixado de funcionar, a porta continua aberta.

A Magic Eden fez questão de ressaltar que nenhuma listagem ativa em sua plataforma foi afetada. A empresa encerrou o suporte às redes compatíveis com a EVM em outubro de 2024 e fechou totalmente esse mercado no início de 2026. O risco, portanto, recai sobre quem anunciou peças naquele período e nunca retirou as aprovações concedidas.

O ataque aconteceu às 9h do horário da costa leste americana em 25 de setembro de 2026, ou 10h no horário de Brasília. O invasor aproveitou a falha para levar coleções específicas: 10 Meebits, 50 Otherdeeds, 10 NFTs da World of Women e 235 Desperate ApeWives.

Como o Payment Processor V2 não tinha mecanismo de pausa, não havia como simplesmente desligar o contrato vulnerável. Diante disso, 0xQuit, da Yuga Labs, coordenou uma operação de resgate conduzida por hackers éticos, os chamados white hats. A ideia foi mover os ativos em risco antes que o atacante conseguisse alcançá-los. Segundo 0xQuit, foram resgatados 23.155 NFTs, com valor acima de US$ 5,7 milhões.

Nem tudo, porém, pôde ser salvo. Um total de 660 WETH, a versão do ether adaptada ao padrão de tokens da rede, ficou exposto a uma variação inversa do mesmo ataque e não foi recuperado.

A orientação da Magic Eden para quem pode ter sido afetado é revogar as permissões do tipo "aprovado para todos" concedidas ao contrato V2 nas redes Ethereum, Polygon e Base. Para isso, a empresa indicou a ferramenta Revoke.cash, que permite visualizar e cancelar autorizações antigas. A companhia avisou, contudo, que a revogação não devolve ativos que já tenham sido transferidos pelos criminosos, servindo apenas para evitar novas perdas.

A Limit Break também pausou o Payment Processor V3, que continha a mesma vulnerabilidade. A medida, no entanto, veio tarde demais para impedir o comprometimento inicial.

Para colecionadores brasileiros de NFTs, o caso é um lembrete prático de segurança. Muitos usuários concedem permissões a contratos ao longo dos anos e esquecem delas, mesmo depois de deixar de usar a plataforma. Revisar periodicamente essas autorizações e cancelar as que não são mais necessárias é uma forma simples de reduzir a exposição a falhas como essa, que podem surgir muito tempo depois da última negociação realizada.