매직에덴 NFT 승인 해킹 — 2024년에 걸어둔 권한을 지워야 해요

2024년에 매직에덴 EVM 마켓에 NFT 를 올린 적이 있다면, 지금 지갑 승인을 지워야 해요. 매직에덴이 그때 정산에 쓰던 리미트 브레이크(Limit Break)의 페이먼트 프로세서 V2(Payment Processor V2) 컨트랙트에 취약점이 나왔어요. 공격자가 그 컨트랙트를 승인한 지갑을 대신해 NFT 를 0원에 사가는 방식으로, 리보크캐시 집계로 최소 280만 달러가 빠져나갔어요.

무슨 일이 있었나요

페이먼트 프로세서 V2 는 매직에덴이 만든 게 아니라 리미트 브레이크가 관리하는 NFT 거래 정산 컨트랙트예요. 매직에덴은 2024년 2월부터 10월까지 EVM 체인 거래를 이 컨트랙트로 정산했고, 2024년 10월에 사용을 멈췄어요. EVM 마켓 자체도 2026년 1분기에 닫았어요.

문제는 컨트랙트를 안 써도 승인은 안 지워진다는 점이에요. 승인(Approval) — NFT 나 토큰을 컨트랙트가 내 지갑에서 옮길 수 있게 미리 허락해 두는 거예요. 매물을 내려도, 사이트에서 지갑 연결을 끊어도 이 허락은 체인에 그대로 남아요. 리보크캐시도 "매물을 취소해도 노출된 지갑은 보호되지 않는다"고 못 박았어요.

공격은 2026년 9월 24일에 시작됐어요. 공격자는 승인이 살아 있는 지갑을 대신해 그 지갑의 NFT 를 0 ETH 에 사가는 식으로 빼갔어요. 반대 방향도 있었어요. 값이 없는 NFT 를 그 지갑이 사게 만들어서 WETH(랩드 이더 — 이더리움을 ERC-20 토큰 형태로 감싼 것)를 긁어가는 경로예요.

빠져나간 물건에는 밈비츠 10개, 아더디드 50개, 월드오브위민 10개, 데스퍼릿 에이프와이브스 235개가 들어 있어요.

먼저 옮겨서 지킨 NFT 가 있어요

페이먼트 프로세서 V2 는 멈출 수 있는 구조가 아니었어요. 그래서 유가랩스의 0xQuit 을 비롯한 보안 연구자들이 위험한 NFT 를 공격자보다 먼저 자기 지갑으로 옮겼어요. 이렇게 옮긴 게 NFT 23,155개, 570만 달러 넘는 규모예요. 주인이 승인을 지우면 돌려주는 조건으로 보관 중이고, 되찾기 창구도 준비 중이에요.

다 막지는 못했어요. 0xQuit 은 "660 WETH 가 위험에 노출돼 있었는데 아쉽게도 우리가 충분히 빠르지 못했다"고 했어요.

내 지갑이 걸렸는지 확인하는 방법

매직에덴은 2024년 2월~10월 사이에 EVM 마켓을 쓴 분에게 세 체인에서 승인을 지우라고 안내했어요.

확인할 체인	지울 승인
이더리움	페이먼트 프로세서 V2
폴리곤	페이먼트 프로세서 V2
베이스	페이먼트 프로세서 V2

리보크캐시의 사고 안내 페이지에 내 주소를 넣으면 노출 여부를 바로 볼 수 있고, 거기서 승인을 지울 수도 있어요. NFT 승인만 보지 말고 WETH 같은 토큰 승인도 같이 확인해 보세요. 두 번째 공격 경로가 토큰을 노렸으니까요.

승인을 지우는 건 앞으로 빼가는 걸 막는 조치예요. 이미 빠져나간 건 되돌아오지 않아요.

다른 체인도 한 번 보세요

리보크캐시는 이번 페이먼트 프로세서 V2·V3 문제를 열 개 체인에 걸어뒀어요. 이더리움, BNB체인, 베이스, 아비트럼, 옵티미즘, 아발란체, 폴리곤, 로빈후드체인, 베라체인, 에이프체인이에요. 에이프체인에서는 V3 승인이 대상이에요. 매직에덴이 콕 집어 말한 세 체인 말고 다른 체인에서 NFT 를 거래한 적이 있다면 거기도 같이 확인해 보세요.

승인은 한 번 주면 계속 남아요

이번 일에서 가져갈 건 지갑 관리 습관이에요. NFT 를 마켓에 올릴 때는 보통 "이 컬렉션 전체를 옮겨도 된다"는 승인을 주게 돼요. 리보크캐시 표기로는 approved for all 이에요. 이 승인은 마켓이 문을 닫아도, 내가 그 사이트를 다시 안 열어도 체인에 남아 있어요.

그래서 컨트랙트가 나중에 뚫리면, 몇 년 전에 준 허락이 그대로 통로가 돼요. 이번에 털린 지갑들이 그 경우예요. 안 쓰는 마켓·디앱의 승인은 주기적으로 지워 두면 이런 통로가 줄어요.

지금 올린 매물은 어떻게 되나요

매직에덴은 "지금 살아 있는 매직에덴 매물은 영향받지 않았다"고 밝혔어요. 이번 문제는 2024년에 남은 옛 승인에만 걸려요. 매직에덴은 리미트 브레이크와 함께 추가 보호 방법을 찾고 있다고도 했어요.

정리

• 매직에덴이 2024년 2월~10월에 쓴 페이먼트 프로세서 V2 에 취약점이 나왔고, 9월 24일부터 공격이 시작됐어요.
• 승인이 살아 있는 지갑에서 NFT 와 WETH 가 빠져나갔어요. 리보크캐시 집계로 최소 280만 달러예요.
• 0xQuit 이 NFT 23,155개를 먼저 옮겨 보관 중이고, 660 WETH 는 못 건졌어요.

2024년에 매직에덴 EVM 마켓을 쓴 기억이 있다면, 리보크캐시에서 이더리움·폴리곤·베이스 세 체인의 페이먼트 프로세서 승인을 지워 보세요.