Whitehat resgata 23.155 NFTs e não recupera 660 WETH

Um contrato de liquidação de NFTs, e não um servidor nem uma carteira, é o que ficou exposto na Limit Break. O Payment Processor V2, protocolo criado para liquidar operações em redes da família Ethereum e adotado pela Magic Eden em 2024, tinha uma falha que fazia o processador tratar qualquer carteira como contraparte de um trade sem que a carteira assinasse nada. O uso da versão foi abandonado em outubro de 2024, e o marketplace EVM da casa foi encerrado no primeiro trimestre de 2026. Nada em exibição na Magic Eden foi atingido, e a exposição vem de trades antigos, não de operação corrente.

A primeira ocorrência documentada do abuso saiu às 10h no horário de Brasília do dia 25 de setembro, com dez Meebits, cinquenta Otherdeeds, dez World of Women e 235 Desperate ApeWives, somando 305 NFTs em cerca de três transações, e quase treze horas se passaram até o relato ao pesquisador que conduziu a resposta.

A falha que tratava qualquer carteira como contraparte

Nenhum dos seletores de pausa testados aparece no bytecode implantado, o que confirma que a V2 nunca teve esse mecanismo de bloqueio.

O contrato segue no endereço 0x9A1D00bEd7CD04BCDA516d721A596eb22Aac6834, com 63.126 transações registradas e o rótulo conferido no explorador. O código implantado devolveu 21.004 caracteres de bytecode em hexadecimal no bloco 26058164, e dentro dele não resta ETH nenhum. A consulta foi feita em 26 de setembro de 2026, e o código responde como executável e imutável na rede principal.

A V2 nunca teve botão de emergência

A V3, com a mesma falha, foi efetivamente pausada pela Limit Break, enquanto a V3 na ApeChain ficou temporariamente sem essa possibilidade de pausa.

Já a V2 nunca teve esse mecanismo. Sem função de pausa naquele contrato, o bloqueio de emergência ficou fora de questão, e a única saída foi a operação de resgate. Dela saem todos os números de retomada e de perda que circulam sobre o incidente, atribuídos ao operador que a conduziu.

O resgate em números, 23.155, 16.429 e 660 WETH

A contagem feita na Ethereum registra 16.429 transferências de NFT, número menor que o declarado e sem fechamento da diferença entre as duas cifras.

Essas transferências vieram de 2.673 carteiras de origem distintas e de 493 contratos de coleção diferentes, o que confirma a natureza massiva do resgate e afasta a hipótese de um ataque mirado em poucas carteiras grandes do marketplace.

A primeira entrada da varredura apareceu no bloco 26052469, às 02h46, e a última no bloco 26054643, às 10h03, ambas na mesma manhã de setembro.

A operação durou sete horas e poucos minutos, e pagou o próprio gas com 1,0289 ETH do saldo da carteira de custódia, que terminou com saldo zero em WETH. O contrato abandonado seguiu respondendo a chamadas na rede principal durante todo o resgate, e tudo o que foi para a carteira 0x71cF3f5724bD2B72Ef6464992aCd26216DE7fe33 volta para os donos assim que cada detentor revoga as aprovações, o que ainda não aconteceu para a maioria dos detentores.

Nenhum detentor de NFT ficou no prejuízo. A exposição ficou no WETH de quem havia aprovado o token na ApeChain, segundo o operador do resgate.

O mesmo operador declarou que 660 WETH estavam em jogo e não foram recuperados a tempo, avaliados por ele em cerca de US$ 1,7 milhão, e afirmou que a mesma falha, usada ao contrário, permitiria levar WETH de quem aprovou o token. Na cotação usada para verificação, ETH a US$ 2.688,86, o volume valeria perto de US$ 1,77 milhão, e o preço do ativo não reagiu ao evento nas 24 horas seguintes ao abuso relatado.

A diferença de 6.726 itens entre as duas contagens segue sem fechamento, com parte possivelmente resgatada na ApeChain e parte vinda em lotes agrupados que a varredura de eventos não separa, e nenhuma das hipóteses foi confirmada.

O que cada detentor precisa fazer agora

A correção continua sendo revogação, e ela depende apenas da carteira de cada detentor, sem ajuda do protocolo já desativado. São três redes para a V2, Ethereum, Polygon e Base, e uma para a V3, a ApeChain, com a Revoke.cash indicada. Cancelar listagem ou rotacionar o nonce do marketplace não remove a concessão registrada na cadeia.

O contrato V2 segue ativo e sem pausa, a Limit Break não publicou análise técnica do incidente, e os 660 WETH declarados como perdidos não voltaram.