У п’ятницю рано вранці гаманець раптово вилучив тисячі NFT у сотень власників за 0 ETH, що викликало тривогу в Magic Eden. Однак цей гаманець належав команді «білих хакеров», які проводили рятувальну операцію. Представник Yuga Labs 0xQuit повідомляє, що команда в результаті забезпечила збереження 23 155 NFT загальною вартістю понад 5,7 млн доларів після виявлення помилки, пов’язаної зі старими дозволами платіжного процесора Limit Break.
«Білі хакери» викрали NFT на суму 5,7 млн доларів, перш ніж зловмисники встигли втрутитися
АВТОР
ПОДІЛИТИСЯ
Основні висновки
- 0xQuit повідомляє, що «білим хакерам» вдалося врятувати 23 155 вразливих NFT на суму понад 5,7 млн доларів, перш ніж зловмисники змогли дістатися до них.
- Cirrus першим підняв тривогу, помітивши, що 3 832 NFT переміщуються з сотень гаманців через, як здавалося, продажі на Magic Eden за 0 ETH.
- 0xQuit повідомляє, що приблизно 660 WETH встигли вислизнути до початку рятувальної операції, а власникам із старими дозволами настійно рекомендується їх скасувати.
Тисячі NFT раптово переміщуються задарма
У ланцюжку блоків це виглядало жахливо. Тисячі NFT залишали сотні гаманців, і кожен переказ відображався як продаж на Magic Eden за рівно 0 ETH.
Сервіс відстеження NFT Cirrus підняв тривогу рано вранці 25 вересня, виявивши переміщення 3 832 NFT в один гаманець. За кілька хвилин віцепрезидент Yuga Labs з питань блокчейну 0xQuit втрутився, повідомивши несподіваний поворот: «Привіт, це «білий хак», і все [the wallet 0x71cF] у безпеці, і все буде повернуто, щойно ризик мине». Масштаб рятувальної операції виявився набагато більшим, ніж спочатку здавалося.
Старі дозволи обернулися проблемою
Пізніше 0xQuit повідомив, що «білі хакери» захистили 23 155 NFT загальною вартістю понад 5,7 млн доларів після виявлення вразливості в платіжному процесорі Limit Break. Раніше Magic Eden використовував цей протокол для торгів на Ethereum, перш ніж закрити свій EVM-маркетплейс у березні. Маркетплейс зник. А ось деякі дозволи гаманців — ні.
За словами 0xQuit, зловмисник спочатку викрав 10 незамінних токенів Meebit, 50 Otherdeeds, 10 NFT World of Women та 235 Desperate Apewives. Як тільки масштаби інциденту стали очевидними, «білі хакери» почали переводити вразливі NFT під охорону, перш ніж зловмисники змогли до них дістатися.
Була ще одна проблема. За повідомленнями, цю ж уразливість можна було використати проти WETH, і приблизно 660 WETH не вдалося повернути. 0xQuit описав це як «1,7 млн доларів у WETH, до яких я не встиг».
Власникам все ще потрібно скасувати дозволи
Рятувальна операція не скасовує вразливі дозволи автоматично. Власникам, які раніше взаємодіяли з маркетплейсом Magic Eden на Ethereum, настійно рекомендується скасувати дозволи Limit Break Payment Processor V2 на Ethereum та дозволи V3 на ApeChain.
Очікується, що врятовані NFT будуть повернуті після того, як постраждалі власники скасують ці дозволи, але офіційна дата подання заяв поки що не оголошена. У п’ятницю о 6:44 ранку за східним часом Magic Eden підбив підсумки того, що сталося. В офіційному акаунті в X зазначено, що експлойт пов’язаний із Payment Processor V2 від Limit Break — протоколом торгівлі NFT, який маркетплейс використовував для розрахунків за операціями EVM у 2024 році.
Компанія припинила використовувати цей протокол у жовтні 2024 року та закрила свій EVM-ринок у першому кварталі 2026 року. «Ця уразливість не вплинула на жодні активні лоти на Magic Eden», — заявила компанія, хоча NFT, виставлені на її EVM-ринку приблизно в період з лютого по жовтень 2024 року, потенційно могли бути зачеплені.
Команда Magic Eden наголосила, що співпрацює з компанією Limit Break, яка володіє та підтримує цей протокол, одночасно вивчаючи додаткові заходи щодо мінімізації ризиків. Компанія також висловила вдячність 0xQuit за «рятувальну операцію у дусі «білих хакерів»» та за виявлення вразливості.
Користувачам, які виставляли на продаж або торгували NFT на EVM-маркетплейсі Magic Eden до його закриття, настійно рекомендується скасувати дозволи, пов’язані з ураженим контрактом Payment Processor V2 на Ethereum, Polygon та Base. Magic Eden попередила, що «скасування не поверне токени, які вже були переведені», та наголосила, що розслідування триває.
Цю статтю перекладено з англійської мови за допомогою штучного інтелекту. Оригінальна англомовна версія є авторитетним джерелом; автоматичні переклади можуть містити неточності, особливо в юридичній та нормативній термінології.
