Lo que ocurrió. La mañana del 25 de septiembre, el rastreador CirrusNFT notó que una billetera había extraído 3.832 NFT de cientos de billeteras Ethereum distintas. Todas las transferencias se realizaron como transacciones en Magic Eden a un precio de 0 ETH, es decir, alguien «vendió» NFT ajenos a sí mismo utilizando permisos ya emitidos.
Quién lo hizo. El CEO de Yuga Labs, Michael Figge, informó que la vulnerabilidad fue descubierta hace unas horas y que el empleado del equipo Quit está encargado de rescatar los activos. El propio Quit confirmó que se trata de una operación de «white-hat»: todo en la dirección 0x71cF…fe33 está seguro y será devuelto a sus dueños cuando se elimine el riesgo. Este no es el primer caso de este tipo: en junio, 0xQuit también retiró 68 NFT valiosos de Flooring Protocol bajo la protección de Yuga Labs, antes de que los atacantes pudieran acceder a ellos.
Qué hay dentro. Entre los NFT rescatados se encuentran BAYC, MAYC, Azuki, Doodles, Moonbirds, CloneX, Meebits y otras colecciones. Uno de los traders estimó el volumen en aproximadamente 1,4 millones de dólares, aunque esta cifra no está confirmada.
Por qué ocurrió (versión). La causa probable: permisos antiguos para el contrato del antiguo mercado Ethereum Magic Eden. En la primavera de 2026, la plataforma cerró las direcciones Bitcoin y EVM para centrarse en Solana, pero parte de los permisos parece haber quedado activa. Según la documentación de Magic Eden, el soporte para el mercado EVM finalizó el 9 de marzo. Oficialmente, el mecanismo no está confirmado y aún no hay un análisis detallado del incidente.
Qué hacer. Si alguna vez has listado NFT en Magic Eden en Ethereum, revoca los permisos a través de revoke.cash. La principal amenaza ahora son los imitadores que podrían utilizar los mismos permisos. No firmes transacciones inesperadas de «claim» o «return»: tras operaciones públicas de rescate, los estafadores suelen activarse.
Al momento de publicar esta nota, Magic Eden no ha emitido un comunicado oficial, y aún no se han revelado detalles sobre la vulnerabilidad, el número de billeteras afectadas ni el valor total de los activos. Si la compañía emite un comentario, este post deberá actualizarse.
el token ME no reacciona negativamente