Aprovações concedidas por usuários da Magic Eden a um contrato usado pela plataforma em 2024 permaneceram ativas mesmo depois de o marketplace abandonar o sistema. A falha permitiu ataques contra carteiras antigas e levou pesquisadores a retirar preventivamente mais de 23 mil NFTs avaliados em US$ 5,7 milhões antes que fossem roubados. Revoke.cash
O problema está no Payment Processor V2, protocolo de negociação de NFTs mantido pela Limit Break e adotado pela Magic Eden para liquidar operações em seu antigo marketplace EVM. A empresa deixou de usar o contrato em outubro de 2024 e encerrou esse marketplace no primeiro trimestre deste ano, mas as permissões concedidas pelas carteiras continuaram válidas. The Block
Essas autorizações permitem que um contrato movimente determinados ativos sem exigir uma nova assinatura a cada operação. No caso do Payment Processor, a vulnerabilidade tornou possível agir em nome de carteiras que ainda mantinham essas permissões, mesmo que os usuários tivessem cancelado antigas listagens. Revoke.cash
A Magic Eden afirmou que nenhuma listagem ativa da plataforma foi afetada. Segundo a empresa, usuários que listaram NFTs em seu marketplace EVM aproximadamente entre fevereiro e outubro de 2024 podem estar expostos. The Block
Ataques já causaram perdas de ao menos US$ 2,8 milhões
O primeiro ataque conhecido ocorreu em 24 de setembro, quando mais de 300 NFTs foram retirados de uma carteira. Depois que a vulnerabilidade se tornou pública, outros agentes passaram a explorar o mesmo mecanismo contra NFTs, WETH e outros tokens em diferentes redes. Revoke.cash
A Revoke.cash estimou em pelo menos US$ 2,8 milhões o valor efetivamente roubado em Ethereum, Polygon, Base, Arbitrum e ApeChain. O levantamento registrou cerca de 580 WETH drenados, além de USDC, POL e outros ativos. Revoke.cash
Paralelamente, uma operação liderada pelo pesquisador 0xQuit, vice-presidente de blockchain da Yuga Labs, utilizou a própria vulnerabilidade para transferir ativos expostos a uma carteira de custódia. Segundo ele, 23.155 NFTs avaliados em mais de US$ 5,7 milhões foram resgatados. Decrypt
A Limit Break conseguiu pausar versões mais recentes do Payment Processor, mas o V2 não possui mecanismo de pausa ou atualização, o que impede corrigir diretamente o contrato já implantado. Revoke.cash
Usuários que ainda mantêm approvals para os contratos afetados continuam expostos até revogá-los on-chain. Cancelar uma antiga listagem, desconectar a carteira de um site ou simplesmente deixar de usar o marketplace não elimina essas permissões. A Magic Eden recomendou a revogação dos approvals relacionados ao Payment Processor nas redes afetadas. Decrypt
Os proprietários dos NFTs transferidos pela operação white-hat já podem iniciar o processo para recuperar os ativos, condicionado à revogação das permissões vulneráveis.
