Maaaring iniwan na ng Magic Eden ang Ethereum, pero nalantad pa rin ang mga NFT ng ilan sa mga dati nitong user.

Nagbabala ang marketplace noong Biyernes na ang mga NFT na naka-list sa EVM marketplace nito sa pagitan ng humigit-kumulang Pebrero at Oktubre 2024 ay maaaring naapektuhan ng isang exploit sa Payment Processor V2, isang NFT trading protocol na binuo at minementina ng Limit Break.

Ang EVM ay tumutukoy sa Ethereum at sa mga blockchain na compatible dito. Inampon ng Magic Eden ang kontratang ito para i-settle ang mga trade noong 2024, tumigil sa paggamit nito noong Oktubre ng taong iyon, at tuluyang isinara ang EVM marketplace nito sa unang bahagi ng 2026.

“Walang live Magic Eden listings ang naapektuhan sa exploit na ito,” sabi ng kumpanya sa X.

Nasa mga natitirang approval ang problema. Kapag nagli-list ng NFT ang mga user, karaniwan silang nagbibigay ng pahintulot sa isang kontrata na ilipat ang mga ito, at nananatiling aktibo ang pahintulot na iyon hanggang sa ito ay i-revoke.

Hinimok ng Magic Eden ang sinumang nag-list o nag-trade sa EVM marketplace nito na i-revoke ang “approved for all” permissions ng V2 contract sa Ethereum, Polygon, at Base gamit ang Revoke.cash. Nilinaw nito na hindi maibabalik ng pag-revoke ang mga token na nailipat na.

Sinabi ni 0xQuit, Vice President of Blockchain ng Yuga Labs, na ginamit ng isang attacker ang bug para makuha ang 10 Meebits, 50 Otherdeeds, 10 World of Women NFT, at 235 Desperate ApeWives. Ipinause ng Limit Break ang Payment Processor V3, na may kaparehong kahinaan, ngunit hindi puwedeng i-pause ang V2. Dahil dito, kinailangang magsagawa ng whitehat rescue, isang operasyon kung saan inililipat ng mga friendly hacker ang mga vulnerable asset sa ligtas na lugar bago pa ito maagaw ng mga attacker.

“Sa kabuuan, nakapagsagip kami ng 23,155 NFT na may halagang lampas $5.7M USD,” isinulat ni 0xQuit. Ayon sa kanya, mababawi ng mga may-ari ang mga ito pagkatapos nilang i-revoke ang approvals.

Ngunit ang 660 wrapped Ethereum, o WETH, na nalantad sa isang reverse na bersyon ng exploit ay hindi na-recover sa oras.

Inalis ng Magic Eden ang suporta sa Ethereum at Bitcoin noong Pebrero upang magpokus sa Solana at sa crypto casino nito na Dicey. Kalaunan ay itinigil din nito ang multichain wallet nito.

Dumating ang insidenteng ito sa masamang panahon para sa mga crypto user. Kahapon lang, mahigit $380 milyon sa Ethereum at iba pang crypto asset ang ninakaw ng mga hindi pa nakikilalang hacker mula sa Bitget exchange sa nangyari ngayong pinakamalaking crypto hack ng taon.