Vroeg op vrijdag haalde een wallet plotseling duizenden NFT’s weg bij honderden eigenaren voor 0 ETH, wat bij Magic Eden alarmbellen deed rinkelen. Alleen was de wallet afkomstig van een ‘white-hat’-reddingsoperatie. 0xQuit van Yuga Labs zegt dat het team uiteindelijk 23.155 NFT’s ter waarde van meer dan $5,7 miljoen in veiligheid heeft gebracht, nadat het een bug had ontdekt met betrekking tot oude goedkeuringen van de Limit Break Payment Processor.
White Hats stelen voor 5,7 miljoen dollar aan NFT’s voordat de aanvallers hun slag kunnen slaan
GESCHREVEN DOOR
DELEN
Belangrijkste punten
- 0xQuit zegt dat de ‘white hats’ erin geslaagd zijn om 23.155 kwetsbare NFT’s ter waarde van meer dan 5,7 miljoen dollar te redden voordat aanvallers erbij konden komen.
- Cirrus sloeg als eerste alarm nadat het had opgemerkt dat 3.832 NFT’s vanuit honderden wallets werden verplaatst via ogenschijnlijke Magic Eden-verkopen voor 0 ETH.
- 0xQuit zegt dat er ongeveer 660 WETH door de mazen van het net zijn geglipt vóór de reddingsactie, terwijl houders met oude goedkeuringen worden aangespoord om deze in te trekken.
Duizenden NFT's worden plotseling gratis verplaatst
Op de blockchain zag het er vreselijk uit. Duizenden NFT’s verlieten honderden wallets, waarbij elke overdracht verscheen als een Magic Eden-verkoop voor precies 0 ETH.
NFT-tracker Cirrus sloeg begin 25 september alarm nadat het had opgemerkt dat 3.832 NFT's naar één enkele wallet werden overgeheveld. Enkele minuten later kwam 0xQuit, VP Blockchain bij Yuga Labs, tussenbeide met de volgende mededeling: „Hé, dit is een whitehat-actie en alles is [the wallet 0x71cF] is veilig en wordt teruggegeven zodra het geen risico meer loopt.” De reddingsactie bleek veel omvangrijker dan aanvankelijk gedacht.
Oude goedkeuringen komen terug om te bijten
0xQuit zei later dat whitehats 23.155 NFT’s ter waarde van ruim 5,7 miljoen dollar hadden veiliggesteld nadat er een kwetsbaarheid was ontdekt in de betalingsverwerker van Limit Break. Magic Eden gebruikte het protocol eerder voor Ethereum-transacties, voordat het in maart zijn EVM-marktplaats sloot. De marktplaats verdween. Sommige wallet-goedkeuringen bleven echter bestaan.
Volgens 0xQuit stal een aanvaller eerst 10 Meebit non-fungible tokens, 50 Otherdeeds, 10 World of Women NFT’s en 235 Desperate Apewives. Toen de omvang van het lek duidelijk werd, begonnen ‘white hats’ kwetsbare NFT’s in bewaring te nemen voordat aanvallers erbij konden komen.
Er was nog een addertje onder het gras. Dezelfde kwetsbaarheid zou naar verluidt ook tegen WETH kunnen worden gebruikt, en ongeveer 660 WETH is niet teruggevonden. 0xQuit omschreef het als “de 1,7 miljoen dollar aan WETH waarvoor ik niet snel genoeg was.”
Eigenaren moeten nog steeds goedkeuringen intrekken
De reddingsactie maakt de kwetsbare machtigingen niet automatisch ongeldig. Houders die eerder interactie hadden met de Ethereum-marktplaats van Magic Eden, zijn dringend verzocht om de machtigingen voor Limit Break Payment Processor V2 op Ethereum en V3 op ApeChain in te trekken.
Verwacht wordt dat de geredde NFT’s worden teruggegeven nadat de getroffen eigenaren deze machtigingen hebben ingetrokken, maar er is nog geen openbare datum voor het claimen aangekondigd. Vrijdag om 06:44 uur Eastern Time vatte Magic Eden samen wat er was gebeurd. Op het officiële X-account werd vermeld dat de exploit betrekking had op Limit Break’s Payment Processor V2, een NFT-handelsprotocol dat de marktplaats in 2024 gebruikte om EVM-transacties af te wikkelen.
Het bedrijf stopte in oktober 2024 met het gebruik van het protocol en sloot zijn EVM-marktplaats in het eerste kwartaal van 2026. „Geen enkele actieve aanbieding op Magic Eden werd door deze kwetsbaarheid getroffen”, aldus het bedrijf, hoewel NFT’s die tussen ongeveer februari en oktober 2024 op de EVM-marktplaats werden aangeboden, mogelijk wel zijn getroffen.
Het Magic Eden-team benadrukte dat het samenwerkt met Limit Break, dat eigenaar is van en het protocol onderhoudt, terwijl het onderzoek doet naar aanvullende maatregelen om de schade te beperken. Het bedrijf bedankte ook 0xQuit voor de „white hat-redding“ en voor het signaleren van de kwetsbaarheid.
Gebruikers die NFT’s op de EVM-marktplaats van Magic Eden hebben aangeboden of verhandeld voordat deze werd gesloten, worden dringend verzocht om de machtigingen in verband met het getroffen Payment Processor V2-contract op Ethereum, Polygon en Base in te trekken. Magic Eden waarschuwde dat “het intrekken geen tokens terugbrengt die al zijn overgedragen” en benadrukte dat het onderzoek nog gaande is.
Dit artikel is met behulp van AI uit het Engels vertaald. De originele Engelstalige versie is de gezaghebbende bron; geautomatiseerde vertalingen kunnen onnauwkeurigheden bevatten, met name in juridische en regelgevende terminologie.
