Взлом Limit Break: куда ушли 542 WETH, и атакующий всё ещё опустошает кошельки

Payment Processor V2 (0x9A1D00bEd7CD04BCDA516d721A596eb22Aac6834) проводит сделки с NFT. Кошелёк, который выставляет NFT, даёт ему право распоряжаться всей коллекцией, и это разрешение не истекает. Magic Eden проводила через него сделки в Ethereum примерно с февраля по октябрь 2024 года и давно ушла; разрешения остались. V2 нельзя поставить на паузу.

Ошибка позволяла провести «продажу» от имени кошелька без его подписи. С NFT атакующий покупал их по нулевой цене. С WETH всё наоборот: атакующий выпускал одноразовый NFT и «продавал» его жертве за весь её баланс WETH, а контракт сам списывал оплату. Технического разбора Limit Break не опубликовала; схема выше — то, что видно по событиям в блокчейне.

Первое зафиксированное злоупотребление — 24 сентября в 13:07 UTC: 305 NFT с одного кошелька (10 Meebits, 50 Otherdeeds, 10 World of Women и 235 Desperate Apewives) ушли на 0x0e9E147AF2108e5354EfB28740Cade8e7422d1c7, ровно как описал 0xQuit. Заметили это через 12 часов, и за ночь белые хакеры 0xQuit спасли около 23 000 NFT. С 23 по 29 сентября мы насчитали больше 108 000 переводов NFT по нулевой цене с 13 182 кошельков — спасения и кражи вместе.

Около 08:00 UTC 25 сентября нашли путь к WETH. С 08:26 до 08:57 опустели почти все кошельки, где ещё был WETH и старое разрешение; после этого остались крохи. Всего мы насчитали 542,1 WETH, около $1,4 млн по цене 25 сентября, в 6 650 транзакциях.

Первую и самую крупную транзакцию — 281,66 WETH с 25 кошельков в 08:26 — провёл оператор MEV-бота 0x23245F620d1e910ad76e6B6De4f8284A53C9Ad2d: он добрался до WETH раньше всех. Его цепочка выплат, как и с конца 2025 года, разделила деньги 90/10, и 253,49 ETH пришли на 0xbfA8d986363e225Ea10d43a8838280bC2466A68e. 29 сентября 0xQuit сообщил, что этот оператор согласился вернуть 90% пострадавшим через nftsaresafu.xyz. Мы не называем его атакующим и не помечаем его адреса.

Остальное забрали атакующие, которые для каждой пачки жертв создавали новый контракт. 0xcccc640018f8c2b00fa45F456017AD2378Eb3447 забрал 166,5 WETH за 13 транзакций, 0xDeaD668FDC60b33Fd2D10dD40070b75177bEeCd2 — 44,8 WETH за 16, а 0xfc3fAcD67138966aB0c841E905B0C4BCA1AbE92F — адрес, который @sprunky_eth нашёл зашитым в код контрактов-дренеров, — 10,6 WETH. Ещё шесть адресов взяли от 1 до 7 WETH каждый.

0xcccc640018f8c2b00fa45F456017AD2378Eb3447 развернул WETH в ETH (97 ETH в 08:42 и 70,54 ETH в 09:17) и в 14:27 отправил 165 ETH на 0xddddD01e33c4dcF91bb0BDdDa40788dFAcd52c24. Там сейчас 223 ETH — ещё 46 ETH тот же атакующий прислал туда 29 августа — и с кошелька не ушло ни одной транзакции. Он у нас на мониторинге.

0xDeaD668FDC60b33Fd2D10dD40070b75177bEeCd2 развернул свою долю и 25 сентября в 10:53 отправил 46 ETH через relay-контракт Railgun (0x4025ee6512DBbda97049Bcf5AA5D38C54aF6bE8a) в приватный пул Railgun. 28 сентября сделал два пробных депозита по 0,1 ETH в Tornado Cash.

На оба кошелька приходят поддельные токены «ETH» с адресов-двойников, повторяющих первые и последние символы. Это отравление адресов в расчёте на того, кто скопирует адрес следующим; здесь оно не учитывается.

Спасение белых хакеров закончилось утром 25 сентября. Самый крупный улов пришёл после него. 26 и 27 сентября два новых кошелька, 0x91d7F7C9d08a50Bb252F1EF2E0a5749A396eb653 и 0x40986ac3089d3963095c07506F02746F2ACBA5a8, провели через тот же контракт 3 252 транзакции и собрали около 30 800 NFT с 2 697 кошельков из 552 коллекций на одном адресе, 0x22657B3eb4B984f0137C58e0713ae125d752B4F4. Среди них 4 588 Backstreet Dog, 3 301 Beanz3D, 2 432 CNP Jobs и 1 075 доменов ENS плюс 434 обёрнутых домена ENS — через них можно выдавать себя за прежних владельцев.

Кошелёк создан под это: первая транзакция 26 сентября в 06:58 UTC, газ от 0x9E4A8Ca74A8b07915E3f89107CAE77Ff413AD255. Наружу он вывел всего около 400 NFT, остальные на месте. 28 сентября кошелёк 0xQuit (0x71cF3f5724bD2B72Ef6464992aCd26216DE7fe33, через него владельцы сейчас забирают спасённые NFT) отправил ему ончейн-сообщение с просьбой вернуть их. Ответа в блокчейне нет.

Часть группа всё же обналичила. 0x9E4A8Ca74A8b07915E3f89107CAE77Ff413AD255 продал NFT в биды на Seaport и Blur примерно за 8 ETH и передал их 0x40986ac3089d3963095c07506F02746F2ACBA5a8, тот отправил 7 ETH на 0x4e79b1A43df1B9E7C32359170f49fB6Db0dB7444. Оттуда 6,33 ETH ушли на 0xEC6181818C17D1E6B1e243831EE0235e39fe9A9E и за десять минут 27 сентября — в Tornado Cash: шесть депозитов по 1 ETH и три по 0,1 ETH.

Если ваш NFT или ENS-домен ушёл с кошелька 26 или 27 сентября по нулевой цене, скорее всего, он на этом адресе.

V2 по-прежнему нельзя остановить, и 0xcccc640018f8c2b00fa45F456017AD2378Eb3447 продолжает им пользоваться. 29 сентября в 14:30 UTC его контракт 0x3d32E8Feb1551E9771F1E485a2B1237a80164Da0 выпустил новый токен и «продал» его кошельку за все его 0,15 WETH. Любой кошелёк, у которого осталось разрешение Payment Processor V2 на WETH, теряет весь WETH, который на него приходит.

Если вы когда-либо выставляли NFT на Ethereum-маркетплейсе Magic Eden или там, где использовался Payment Processor Limit Break, отзовите разрешения для 0x9A1D00bEd7CD04BCDA516d721A596eb22Aac6834 на revoke.cash — и для коллекций NFT, и для WETH. Отзыв не вернёт уже ушедшее; возврат от MEV-оператора оформляется на nftsaresafu.xyz.

Она никого не называет. 0xcccc640018f8c2b00fa45F456017AD2378Eb3447 активен с апреля 2026 года — в апреле и мае внёс 140 ETH в Tornado Cash и с июня создал десятки контрактов, — но Payment Processor V2 до 24 сентября не использовал: мы проверили его транзакции по одной. Что делали его прежние контракты, здесь не разбирается.

Кроме кошелька выше, переводы NFT по нулевой цене здесь не разделены на спасения и кражи: среди получателей есть контракты белых хакеров 0xQuit и посторонние участники, а помечать кошелёк как атакующий только за то, что он получил NFT, мы не будем. Кошельки, которые первыми дали газ исполнителям, ведут в более старую и широкую группу адресов, её мы не прослеживали.

Адреса атакующих с этой страницы помечены в графе рисков PublicAML, и любой сервис, который проверяет адреса по нашей базе, их увидит. Адреса MEV-оператора не помечены.