Magic Eden a peut-être laissé Ethereum derrière lui, mais les NFT de certains de ses anciens utilisateurs restaient exposés.

La marketplace a averti vendredi que les NFT listés sur sa marketplace EVM entre environ février et octobre 2024 pourraient être affectés par un exploit dans Payment Processor V2, un protocole d’échange de NFT développé et maintenu par Limit Break.

EVM désigne Ethereum et les blockchains qui lui sont compatibles. Magic Eden a adopté ce contrat pour régler les transactions en 2024, a cessé de l’utiliser en octobre de la même année, puis a fermé entièrement sa marketplace EVM au début de 2026.

« Aucune annonce active sur Magic Eden n’a été affectée par cet exploit », a déclaré l’entreprise sur X.

Le problème vient des approbations persistantes. Lorsqu’ils listent des NFT, les utilisateurs accordent généralement à un contrat l’autorisation de les déplacer, et cette autorisation reste active jusqu’à ce qu’elle soit révoquée.

Magic Eden a exhorté toute personne ayant listé ou échangé sur sa marketplace EVM à révoquer les permissions « approved for all » du contrat V2 sur Ethereum, Polygon et Base via Revoke.cash. La société a précisé que la révocation ne permettra pas de récupérer les tokens déjà déplacés.

0xQuit, vice-président Blockchain de Yuga Labs, a déclaré qu’un attaquant avait utilisé le bug pour dérober 10 Meebits, 50 Otherdeeds, 10 NFT World of Women et 235 Desperate ApeWives. Limit Break a mis en pause Payment Processor V3, qui présentait la même faille, mais V2 ne pouvait pas être mis en pause. Cela a forcé une opération de sauvetage white hat, dans laquelle des hackers bienveillants déplacent les actifs vulnérables vers un lieu sûr avant que les attaquants ne puissent le faire.

« Au total, nous avons sauvé 23 155 NFT d’une valeur supérieure à 5,7 millions de dollars », a écrit 0xQuit. Les propriétaires pourront les récupérer après avoir révoqué les approbations, selon 0xQuit.

Mais 660 wrapped Ethereum, ou WETH, exposés à une version inversée de l’exploit, n’ont pas pu être récupérés à temps.

Magic Eden a abandonné la prise en charge d’Ethereum et de Bitcoin en février afin de se concentrer sur Solana et son crypto-casino, Dicey. La société a ensuite mis fin progressivement à son wallet multichaîne.

Cet épisode survient à un moment difficile pour les utilisateurs crypto. Hier encore, des hackers inconnus ont dérobé plus de 380 millions de dollars en Ethereum et autres crypto-actifs à l’exchange Bitget, dans ce qui constitue désormais le plus grand hack crypto de l’année.