Magic Eden mungkin sudah meninggalkan Ethereum, tetapi NFT milik sebagian pengguna lamanya masih tetap terekspos.

Marketplace tersebut pada Jumat memperingatkan bahwa NFT yang dicantumkan di marketplace EVM-nya antara sekitar Februari hingga Oktober 2024 dapat terdampak oleh sebuah eksploit di Payment Processor V2, sebuah protokol perdagangan NFT yang dibangun dan dikelola oleh Limit Break.

EVM merujuk pada Ethereum dan blockchain yang kompatibel dengannya. Magic Eden mengadopsi kontrak tersebut untuk menyelesaikan transaksi pada 2024, berhenti menggunakannya pada Oktober tahun itu, dan menutup sepenuhnya marketplace EVM-nya pada awal 2026.

"Tidak ada listing aktif Magic Eden yang terdampak dalam eksploit ini," kata perusahaan tersebut di X.

Masalahnya terletak pada approval yang masih tersisa. Saat pengguna mencantumkan NFT, mereka biasanya memberikan izin kepada sebuah kontrak untuk memindahkannya, dan izin itu tetap aktif sampai dicabut.

Magic Eden mendesak siapa pun yang pernah mencantumkan atau memperdagangkan NFT di marketplace EVM-nya untuk mencabut izin "approved for all" pada kontrak V2 di Ethereum, Polygon, dan Base menggunakan Revoke.cash. Magic Eden menekankan bahwa pencabutan izin tidak akan mengembalikan token yang sudah telanjur berpindah.

Vice President of Blockchain Yuga Labs, 0xQuit, mengatakan seorang penyerang menggunakan bug tersebut untuk mengambil 10 Meebits, 50 Otherdeeds, 10 NFT World of Women, dan 235 Desperate ApeWives. Limit Break menghentikan sementara Payment Processor V3, yang memiliki celah yang sama, tetapi V2 tidak bisa dihentikan. Hal itu memaksa dilakukannya operasi penyelamatan whitehat, yaitu operasi ketika peretas yang bersahabat memindahkan aset rentan ke tempat aman sebelum penyerang sempat melakukannya.

"Secara keseluruhan, kami menyelamatkan 23.155 NFT dengan nilai lebih dari $5,7 juta USD," tulis 0xQuit. Menurut 0xQuit, pemilik akan dapat mengambil kembali aset mereka setelah mencabut approval tersebut.

Namun, 660 wrapped Ethereum, atau WETH, yang terekspos pada versi kebalikan dari eksploit tersebut tidak sempat dipulihkan.

Magic Eden menghentikan dukungan untuk Ethereum dan Bitcoin pada Februari untuk fokus pada Solana dan kasino kriptonya, Dicey. Setelah itu, perusahaan juga menutup secara bertahap wallet multichain miliknya.

Insiden ini terjadi pada saat yang buruk bagi pengguna kripto. Baru kemarin, peretas tak dikenal menggasak lebih dari $380 juta dalam bentuk Ethereum dan aset kripto lainnya dari bursa Bitget, dalam insiden yang kini menjadi peretasan kripto terbesar tahun ini.