화이트햇, Limit Break 결제 처리기 취약점 노린 NFT 23,155개 옮겨…660 WETH는 회수 못 해
화이트햇 작전팀이 Limit Break의 Payment Processor V2에 여전히 승인이 남아 있던 지갑에서 570만 달러 이상 상당의 NFT 23,155개를 옮겼다. Magic Eden은 180만 달러 상당의 wETH가 빠져나갔다고 밝혔다.
이 사건을 읽을 수 있는 언어 English, português (Brasil), français, 日本語, русский, Türkçe, 中文（中国）
왜 중요한가
이번 취약점으로 마켓플레이스 폐쇄가 끝나지 않은 문제로 남게 됐다. 서비스를 닫아도 이용자가 부여한 온체인 권한은 사라지지 않으므로, Magic Eden의 EVM 마켓플레이스에서 거래한 이용자는 누구나 여전히 그 위험에 노출돼 있었다. 손실 추정치는 출처마다 여전히 다르며, 공격자가 가져간 금액에 대한 최종 수치는 아직 공개되지 않았다.
출처가 엇갈리는 지점
공격자가 훔친 금액
roughly $1.8 million in wETH extracted
Bitcoin Insider
660 WETH could not be recovered
Decrypt, Bitcoin.com News
how many NFTs, if any, malicious actors took is not established
CryptoSlate
Bitcoin Insider는 Magic Eden을 인용해 가져간 wETH를 약 180만 달러로 전했고, Decrypt와 Bitcoin.com은 모두 구조 과정에서 빠져나간 660 WETH를 보도했으며, Revoke.cash는 악의적 행위자가 가져간 NFT가 몇 개인지 확인하지 못했다.
처음 보고된 전송 묶음의 규모
23,155 NFTs rescued, worth more than $5.7 million
Decrypt, Bitcoin.com News, Bitcoinist
3,832 NFTs moved as zero ETH sales per the Revoke.cash notice
CryptoSlate, Bitcoin.com News
Decrypt와 Bitcoin.com은 NFT 23,155개를 구조했다고 보도한 반면 당일 Revoke.cash 공지는 NFT 3,832개로 집계했으며, Revoke.cash의 수치는 해당 공지에 보고된 전송 건수에 한정된다.
Magic Eden의 EVM 마켓플레이스 종료 시점
Ethereum, Polygon and Base
Decrypt
Ethereum and ApeChain
CryptoSlate
CryptoSlate는 EVM 지원 종료를 2026년 3월 9일로 적었고, Decrypt는 EVM 마켓플레이스가 2026년 초에 완전히 닫혔다고 전했다.
맞지 않는 수치
보도에 나온 숫자를 자동으로 비교해 찾아냈다. 차이는 있으나 같은 대상을 가리키는지는 아직 확인되지 않았다.
보도된 가치
$5.7 million
Decrypt
$1 million
Crypto.News
Decrypt는 570만 달러로 보도했고, Crypto.News는 100만 달러로 보도했다(82% 차이).
보도된 가치
$5.7 million
Bitcoin.com News
$1 million
Crypto.News
Bitcoin.com News는 570만 달러로 보도했고, Crypto.News는 100만 달러로 보도했다(82% 차이).
보도된 가치
$1 million
Crypto.News
$5.7 million
Bitcoinist
Crypto.News는 100만 달러로 보도했고, Bitcoinist는 570만 달러로 보도했다(82% 차이).
보도된 가치
$1 million
Crypto.News
$5.7 million
Bitcoin Insider
Crypto.News는 100만 달러로 보도했고, Bitcoin Insider는 570만 달러로 보도했다(82% 차이).
가져간 금액(취약점의 여파)
$5.7
Bitcoinist
$1.8
Bitcoin Insider
Bitcoinist는 5.7을, Bitcoin Insider는 1.8을 보도했다(68% 차이).
핵심 사실
Limit Break의 Payment Processor V2 취약점으로 화이트햇 작전팀이 승인된 지갑에서 570만 달러 이상으로 평가되는 NFT 23,155개를 옮길 수 있었다.
23,155 NFTs논란이 있는 수치보도 Decrypt
Yuga Labs의 블록체인 담당 부사장 0xQuit은 지갑 0x71cF에 있는 자산은 안전하며 더는 위험에 놓이지 않게 되면 돌려주겠다고 밝혔다.
NFT 추적 서비스 Cirrus는 9월 25일, 수백 개 지갑에서 NFT 3,832개가 Magic Eden 판매로 보이는 0 ETH 거래로 한 주소에 옮겨진 것을 확인하고 경보를 발령했다.
3,832 NFTs논란이 있는 수치보도 Bitcoin.com News
Magic Eden은 대략 2024년 2월부터 10월 사이 자사 EVM 마켓플레이스에 올라온 NFT가 V2 컨트랙트에 남아 있는 승인을 통해 노출될 수 있다고 밝혔다.
보도 Decrypt
Magic Eden은 2024년 거래 정산을 위해 Payment Processor V2를 도입했고, 그해 10월 사용을 중단했으며, 2026년 초 EVM 마켓플레이스를 닫았다.
보도 Decrypt
Magic Eden은 이번 취약점으로 진행 중인 Magic Eden 매물은 영향을 받지 않았다고 밝혔다.
보도 Decrypt
Magic Eden은 자사 EVM 마켓플레이스에서 매물을 올렸거나 거래한 이용자들에게 Revoke.cash를 통해 Ethereum, Polygon, Base에서 V2 컨트랙트의 승인을 취소하라고 촉구하면서, 취소해도 이미 옮겨진 토큰은 돌아오지 않는다고 경고했다.
보도 Decrypt
0xQuit에 따르면 구조 과정에서 약 660 WETH는 회수하지 못했다.
660 WETH논란이 있는 수치보도 Decrypt
무슨 일이 있었나
Limit Break의 Payment Processor V2에 결함이 있어, 해당 컨트랙트에 부여한 권한을 한 번도 취소하지 않은 지갑에서 누구나 NFT를 옮길 수 있었다. 화이트햇 작전팀은 공격자들이 손을 쓰기 전에 이들 지갑에서 570만 달러 이상 상당의 NFT 23,155개를 옮겼다. 구조된 자산이 들어 있는 주소의 주인인 Yuga Labs의 블록체인 담당 부사장 0xQuit은 9월 25일 지갑 0x71cF에 있는 자산은 모두 안전하며, 보유자들이 더는 위험에 놓이지 않게 되면 돌려주겠다고 밝혔다. NFT 추적 서비스 Cirrus가 가장 먼저 경보를 울렸다. Magic Eden 판매로 보이는 0 ETH 가격의 거래로 NFT 3,832개가 한 지갑에 모이는 것을 확인했다는 것이다. Revoke.cash는 이후 자사 공지에 보고된 전송 건수로 이를 집계했다. Magic Eden은 노출 범위가 대략 2024년 2월부터 10월 사이 자사 EVM 마켓플레이스에 올라온 매물에서 비롯된다고 밝혔다. 당시 마켓플레이스는 V2 컨트랙트로 거래를 정산했다. Magic Eden은 그해 10월 이 컨트랙트 사용을 중단했고, 2026년 3월 EVM 마켓플레이스를 완전히 닫았다. Magic Eden은 진행 중인 매물은 영향을 받지 않았으며, 현재 문제는 폐쇄된 마켓플레이스가 아니라 예전에 부여한 승인이라고 밝혔다. 이에 이용자들에게 Ethereum, Polygon, Base에서 V2 권한을 취소하라고 안내하면서, 권한을 취소해도 이미 옮겨진 토큰은 돌아오지 않는다고 설명했다. Bitcoinist는 도난 피해가 Meebits, Otherdeeds, World of Women 등의 컬렉션에 미쳤다고 보도했다. Bitcoin Insider는 Magic Eden을 인용해 wETH 손실을 약 180만 달러로 전했고, Decrypt와 Bitcoin.com은 모두 회수하지 못한 660 WETH를 보도했다. Revoke.cash는 악의적 행위자가 실제로 가져간 NFT가 몇 개인지 확인하지 못했다.
사건의 전개
- 갱신
Cirrus가 0 ETH Magic Eden 판매로 보이는 거래로 NFT 3,832개가 한 지갑에 모이는 것을 포착했다
The transfer cluster looked like theft onchain until 0xQuit identified the address as a whitehat rescue wallet.
- 공식 발표
Magic Eden이 남아 있는 V2 승인에 대해 경고하고 복구 안내를 게시했다
The marketplace said no live listings were affected and pointed users to Revoke.cash to revoke the contract's permissions on Ethereum, Polygon and Base.
- 갱신
0xQuit이 구조 규모가 570만 달러 이상 상당의 NFT 23,155개라고 밝혔다
0xQuit said everything in wallet 0x71cF is safe and will be returned once holders are no longer at risk, and that 660 WETH slipped through.
- 갱신
Revoke.cash 공지로 노출된 전송 건수에 대한 두 번째 집계가 나왔다
The wallet security service reported 3,832 NFTs moved as zero ETH sales and said it could not determine how many NFTs attackers actually took.
- 첫 보도
첫 보도: Decrypt
Magic Eden Warns Old Ethereum NFT Listings Are Exposed to Payment Processor Exploit
- 독립 확인
CryptoSlate이 독립적으로 확인
Old Magic Eden NFT approvals put users at risk after whitehat moves 3,832 NFTs
- 공식 발표
Bitcoin.com News의 공식 발표
White Hats Swipe $5.7M in NFTs Before Attackers Get Their Shot
- 갱신
Magic Eden이 약 180만 달러 상당의 wETH가 빠져나갔음을 확인했다
Bitcoin Insider, citing the marketplace, put the wETH loss at about $1.8 million and said eligible users can now check whether their assets were part of the rescue.
- 갱신
Bitcoinist가 초기 도난 피해를 본 컬렉션을 거론했다
Collections including Meebits, Otherdeeds and World of Women were listed among the assets taken.
보도가 늘어난 과정
시간에 따른 독립 출처 수. 일치도 항목과 같은 방식으로 세므로 통신사 기사의 전재는 선을 움직이지 않는다.
- 2026년 9월 25일 PM 04:17 UTC: Decrypt — 독립 출처 1곳, 보도 1건
- 2026년 9월 25일 PM 06:00 UTC: CryptoSlate — 독립 출처 2곳, 보도 2건
- 2026년 9월 25일 PM 07:10 UTC: Bitcoin.com News, 1차 출처 — 독립 출처 3곳, 보도 3건
- 2026년 9월 26일 AM 06:36 UTC: Crypto.News — 독립 출처 4곳, 보도 4건
- 2026년 9월 27일 AM 01:30 UTC: Bitcoinist — 독립 출처 5곳, 보도 5건
- 2026년 9월 27일 AM 01:53 UTC: Bitcoin Insider — 독립 출처 6곳, 보도 6건
관련 주체
그 외 언급: USD Coin, BNB
원 출처
| 매체 | 기사 | 역할 | 게재 |
|---|---|---|---|
| Bitcoin.com News 기업, 1차 출처 | White Hats Swipe $5.7M in NFTs Before Attackers Get Their Shot | 독립 | |
| Decrypt 가상자산 매체 | Magic Eden Warns Old Ethereum NFT Listings Are Exposed to Payment Processor Exploit | 최초 보도 | |
| CryptoSlate 가상자산 매체 | Old Magic Eden NFT approvals put users at risk after whitehat moves 3,832 NFTs | 독립 | |
| Crypto.News 가상자산 매체 | NFT sales rise 57.17% to $55.5M as Ethereum leads | 독립 | |
| Bitcoinist 가상자산 매체 | Magic Eden Says Legacy Approvals Exposed $5.7M In NFTs To Exploit | 독립 | |
| Bitcoin Insider 집계 매체 | Magic Eden Details Recovery Steps After Legacy Approval Exploit Drains $1.8M in wETH | 전재 |
