Para 'White Hats' Mengambil NFT Senilai $5,7 Juta Sebelum Para Penyerang Berkesempatan Melakukan Serangan

Ribuan NFT Tiba-Tiba Dipindahkan Tanpa Imbalan

Situasinya terlihat mengerikan di blockchain. Ribuan NFT meninggalkan ratusan dompet, dengan setiap transfer tampak sebagai penjualan di Magic Eden dengan harga tepat 0 ETH.

Pelacak NFT Cirrus membunyikan peringatan pada awal 25 September setelah mendeteksi 3.832 NFT berpindah ke satu dompet. Beberapa menit kemudian, Wakil Presiden Blockchain Yuga Labs, 0xQuit, ikut campur dengan penjelasan: “Hei, ini adalah aksi whitehat dan semua yang ada di [the wallet 0x71cF] aman dan akan dikembalikan begitu risiko sudah tidak ada lagi.” Operasi penyelamatan ini ternyata jauh lebih besar daripada yang diperkirakan semula.

Persetujuan Lama Kembali Menimbulkan Masalah

0xQuit kemudian mengatakan bahwa para white hat berhasil mengamankan 23.155 NFT senilai lebih dari $5,7 juta setelah ditemukan kerentanan di Pemroses Pembayaran Limit Break. Magic Eden sebelumnya menggunakan protokol tersebut untuk perdagangan Ethereum sebelum menutup pasar EVM-nya pada bulan Maret. Pasar tersebut menghilang. Namun, beberapa persetujuan dompet tetap ada.

Menurut 0xQuit, penyerang pertama kali mencuri 10 token non-fungible Meebit, 50 Otherdeeds, 10 NFT World of Women, dan 235 Desperate Apewives. Setelah cakupan kerentanan yang lebih luas menjadi jelas, para white hat mulai memindahkan NFT yang rentan ke tempat penyimpanan aman sebelum penyerang dapat menjangkaunya.

Ada masalah lain. Kerentanan yang sama dilaporkan dapat dimanfaatkan untuk menyerang WETH, dan sekitar 660 WETH tidak berhasil dipulihkan. 0xQuit menggambarkannya sebagai “$1,7 juta dalam WETH yang tidak sempat saya selamatkan.”

Pemilik Masih Harus Membatalkan Persetujuan

Proses penyelamatan ini tidak secara otomatis membatalkan persetujuan yang rentan. Pemegang yang sebelumnya berinteraksi dengan pasar Ethereum Magic Eden telah didesak untuk mencabut persetujuan Limit Break Payment Processor V2 di Ethereum dan persetujuan V3 di ApeChain.

NFT yang telah diselamatkan diperkirakan akan dikembalikan setelah pemilik yang terdampak mencabut izin tersebut, namun belum ada tanggal klaim yang diumumkan secara publik. Pada pukul 06.44 waktu Timur pada hari Jumat, Magic Eden merangkum apa yang terjadi. Akun X resmi tersebut menyatakan bahwa eksploitasi tersebut melibatkan Limit Break’s Payment Processor V2, sebuah protokol perdagangan NFT yang digunakan pasar tersebut untuk menyelesaikan transaksi EVM pada tahun 2024.

Perusahaan tersebut menghentikan penggunaan protokol tersebut pada Oktober 2024 dan menutup pasar EVM-nya pada kuartal pertama tahun 2026. “Tidak ada daftar Magic Eden yang aktif yang terpengaruh dalam eksploitasi ini,” klaim perusahaan tersebut, meskipun NFT yang terdaftar di pasar EVM-nya antara sekitar Februari hingga Oktober 2024 berpotensi terpengaruh.

Tim Magic Eden menekankan bahwa mereka sedang bekerja sama dengan Limit Break, yang memiliki dan mengelola protokol tersebut, sambil menyelidiki langkah-langkah mitigasi tambahan. Perusahaan tersebut juga memberikan penghargaan kepada 0xQuit atas “tindakan penyelamatan white hat” dan atas pelaporan kerentanan tersebut.

Pengguna yang pernah mendaftarkan atau memperdagangkan NFT di pasar EVM Magic Eden sebelum ditutup dihimbau untuk mencabut persetujuan yang terkait dengan kontrak Payment Processor V2 yang terpengaruh di Ethereum, Polygon, dan Base. Magic Eden memperingatkan bahwa “pencabutan tidak akan mengembalikan token yang telah dipindahkan” dan menekankan bahwa penyelidikannya masih berlangsung.