Kriptoturto prekyvietė „Magic Eden“ pranešė, kad jos ankstesni EVM tinklų leidimai paliko didelės vertės NFT pažeidžiamus dėl „Limit Break“ mokėjimų procesoriaus „Payment Processor V2“ spragos. Pasak bendrovės, rizika siekė daugiau nei 5,7 mln. eurų vertės skaitmeninių kolekcionuojamų vienetų.
„Magic Eden“ nurodė, kad šio procesoriaus nebesinaudoja nuo 2024 metų spalio, o EVM prekyvietę uždarė 2026 metų pirmąjį ketvirtį. Bendrovė pabrėžė, kad aktyvūs tuo metu veikiantys „Magic Eden“ skelbimai nebuvo paveikti, tačiau problema siejama su senais, anksčiau suteiktais vartotojų patvirtinimais.
Kaip veikė ataka ir kas buvo pavogta
Spragą išryškino incidentas, kai užpuolikas pasinaudojo pažeidžiamu procesoriumi ir perėmė NFT iš kelių žinomų kolekcijų. Viešai aptartuose atvejuose minėti 10 „Meebits“, 50 „Otherdeeds“, 10 „World of Women“ ir 235 „Desperate ApeWives“ vienetai.
Situacija parodė seniai žinomą riziką EVM ekosistemoje: net jei paslauga ar rinka vėliau uždaroma, anksčiau duoti leidimai išmaniosioms sutartims gali išlikti aktyvūs ir tapti vartais piktnaudžiavimui. Būtent todėl incidentai dažnai susiję ne su naujais sandoriais, o su senomis, pamirštomis autorizacijomis.
„Whitehat“ gelbėjimo operacija ir ko išsaugoti nepavyko
Apie veiksmus po atakos informavo ir bendruomenės atstovai: teigiama, kad „Limit Break“ greitai sustabdė „Payment Processor V3“, kuriame aptikta analogiška problema, tačiau V2 versijos sustabdyti nebuvo įmanoma. Dėl to pagrindiniu apsaugos būdu tapo koordinuota „whitehat“ gelbėjimo operacija.
Skelbiama, kad jos metu nuo galimos vagystės pavyko apsaugoti 23 155 NFT, kurių bendra vertė vertinta daugiau nei 5,7 mln. eurų. Vis dėlto nurodyta, kad ne viską spėta perimti laiku: papildomai rizikoje buvo ir 660 WETH, kurių atgauti nepavyko.
Ką turi padaryti vartotojai
„Magic Eden“ rekomendavo vartotojams, kurie EVM prekyvietėje buvo sudarę sandorių maždaug 2024 metų vasarį–spalį, peržiūrėti ir panaikinti „Payment Processor V2“ suteiktus patvirtinimus. Pasak bendrovės, tai aktualu „Ethereum“, „Polygon“ ir „Base“ tinkluose.
Taip pat nurodyta, kad išgelbėtus NFT bus galima susigrąžinti po to, kai vartotojai atšauks pažeidžiamus leidimus. Ekspertai tokiose situacijose pataria periodiškai peržiūrėti senus sutarties patvirtinimus, ypač po aktyvesnio prekybos laikotarpio ar naudojantis keliomis rinkomis.