Oude Magic Eden-goedkeuringen kosten minstens $2,8 miljoen

Onbekende aanvallers hebben sinds 24 september via oude goedkeuringen van NFT-marktplaats Magic Eden voor minstens $2,8 miljoen aan NFT’s en tokens gestolen.

De toestemmingen waren in 2024 afgegeven aan Payment Processor V2, een handelsprotocol van protocolmaker Limit Break dat Magic Eden toen gebruikte. Magic Eden stopte daar in oktober 2024 mee en sloot zijn marktplaats voor onder meer Ethereum in het eerste kwartaal van 2026. De toestemming bleef echter bestaan. Een geannuleerde verkoop liet de goedkeuring dus intact.

Door een fout in het protocol kon een aanvaller zich voordoen als de handelstegenpartij van een wallet, zonder dat de eigenaar opnieuw hoefde te tekenen. Zo konden NFT’s voor nul dollar worden meegenomen. Goedgekeurde tokens waren af te schrijven door de wallet waardeloze NFT’s te laten kopen.

De aanvankelijk beschreven buit bestond uit 305 NFT’s: 10 Meebits, 50 Otherdeeds, 10 World of Women-NFT’s en 235 Desperate ApeWives. Via een verwante route gingen ook 660 WETH-tokens ter waarde van circa $1,8 miljoen verloren voor de reddingsoperatie. Die aantallen betreffen bezittingen; het aantal getroffen eigenaren is onbekend.

Onderzoekers halen NFT’s weg

Een groep beveiligingsonderzoekers onder leiding van 0xQuit, vicepresident blockchain bij zijn werkgever Yuga Labs, verplaatste 23.155 bedreigde NFT’s naar een bewaarmakingswallet. 0xQuit schatte hun gezamenlijke waarde op meer dan $5,7 miljoen. Eigenaren kunnen de NFT’s terugvragen nadat zij de kwetsbare goedkeuring hebben ingetrokken.

De bedragen meten verschillende delen van het incident. De circa $1,8 miljoen betreft alleen de 660 WETH, minstens $2,8 miljoen is een voorlopige telling van gestolen NFT’s en tokens op vijf blockchains en meer dan $5,7 miljoen is de geschatte waarde van de geredde NFT’s. De definitieve buit blijft daarmee onbekend.

Oude toestemming blijft gevaarlijk

Volgens Magic Eden bleven actieve advertenties op zijn marktplaats buiten schot. Het risico zit bij NFT’s die ongeveer tussen februari en oktober 2024 via de voormalige marktplaats waren aangeboden. Magic Eden adviseerde voormalige gebruikers op 25 september de goedkeuringen voor zowel NFT’s als tokens op Ethereum, Polygon en Base in te trekken.

Limit Break zette Payment Processor V3 stil, omdat daarin dezelfde fout zat. Versie 2 is onherstelbaar en blijft actief. Walletbeveiligingsdienst Revoke.cash meldde bij zijn incidentoverzicht bovendien dat de diefstallen nog liepen. Zolang de oude toestemming in een wallet staat, is oud hier vooral een leeftijdsaanduiding.

Voor wie het op de blockchain wil naslaan: de geredde NFT’s staan in 0x71cF3f5724bD2B72Ef6464992aCd26216DE7fe33.