据发起此次救援行动以在安全事件中拯救处于风险中的 NFT 的白帽黑客称，供所有者找回其 NFT 的网站已上线。在该安全事件中，由于 Limit Break 的 Payment Processor 遭到利用，2024 年时期的 Magic Eden 用户暴露于风险之中。
据 Yuga Labs 区块链研究副总裁、此次救援行动的负责人 0xQuit 称，所有者收回其 NFT 的条件之一是，他们首先必须撤销旧的、有问题的授权。
恢复过程也完全免费，仅收取标准 Gas 费。
值得注意的是，目前仅能从该网站找回被救援的 NFT，而由漏洞利用者持有的 NFT 尚不可恢复，据 Cryptopolitan 报道。
如何找回被救援的 NFT
0xQuit 于周六晚宣布恢复网站开放，他在 X 上写道：“领取网站已上线。如果我成功拯救了你的 NFT，你现在可以找回它们。”
为避免再次暴露，这位 Yuga Labs 高管警告称，NFT 所有者只有在撤销导致此次事件的 Payment Processor 授权后，才能找回其 NFT。
Revoke.cash 也警告称，该攻击仅依赖于授权，因此取消挂单无法阻止漏洞利用。
nftsaresafu.xyz 是唯一官方网站，截至发稿时，在已恢复的 26,448 个资产中，已有 2,357 个被领取。
0xQuit 还警告称，领取操作与委托钱包设置交互，这可能会干扰某些钱包中的交易模拟。
2024 年的一次授权批准险些引发 NFT 灾难
2026 年 9 月的这次漏洞利用，其根源可追溯至 Magic Eden 于 2024 年采用的用于结算 EVM 交易的 NFT 交易协议 Payment Processor V2。然而，据 Revoke.cash 称，当 Magic Eden 在 2024 年 10 月弃用由 Limit Break 构建的处理器时，用户在此期间授予的代币和 NFT 授权从未在链上关闭。
攻击者利用的就是这一活跃权限，直接劫持 NFT，并使用钱包中存储的代币购买毫无价值的 NFT。
自 9 月 24 日漏洞利用开始以来，至少有 280 万美元被盗，影响了以太坊、Polygon、Base、Arbitrum 和 ApeChain 上的钱包。
由于 V2 无法暂停或修补，它将无限期保持易受攻击状态。Limit Break 已暂停了除 ApeChain 之外的所有地方的新版 V3，在 ApeChain 上，V3 将保持可用直至 2026 年 11 月 30 日。
白帽黑客拯救了什么，以及未能拯救什么
0xQuit 表示，该攻击是在有人滥用该漏洞窃取 10 个 Meebits、50 个 Otherdeeds、10 个 World of Women NFT 和 235 个 Desperate ApeWives 后暴露出来的，并且花了 12 个多小时才有人向他报告此事。
一旦他掌握了范围，安全研究人员便利用同样的缺陷进行防御，将处于风险中的资产转移到他们控制的钱包中。据报道，该行动拯救了 23,155 个 NFT，价值超过 570 万美元。
并非所有资产都能及时追回。“660 个 WETH 处于风险之中，不幸的是，我们速度不够快，未能追回，”0xQuit 告诉 The Block，解释说该漏洞利用可以反向运行以提取 WETH。
针对某些 NFT 系列的特殊说明
某些系列将无法顺利释放。0xQuit 警告称，ERC721C 或 ERC1155C 系列的持有者可能因转移验证器规则而无法领取，并要求受影响的系列所有者调整其设置或将该网站加入白名单。他表示，他将在接下来的几天内处理这些案例。
Magic Eden 表示没有实时挂单受到影响，并已于 2026 年第一季度关闭其 EVM 市场。该市场建议用户撤销以太坊、Polygon 和 Base 上的 V2 授权。与此同时，OpenSea 联合创始人 Chris Maddern 表示，他的团队已将超过 3,000 件物品标记为被盗，以阻止转售。
此类事件会吸引骗子。Cryptopolitan 此前曾报道，虚假的“恢复”和“领取”网站往往紧随高调漏洞利用之后出现，因此用户应仅通过 0xQuit 的验证帖子访问领取工具，并通过受信任的检查器撤销授权，而不是通过陌生人在私信或回复中发送的链接。
最聪明的加密思维人士已经阅读了我们的通讯。想加入吗？加入他们。