Oude NFT-listings op Magic Eden kwetsbaar door lek in smart contract

Dit is de gecontroleerde stand van zaken op het moment van publicatie.

Een beveiligingsfout in het Payment Processor V2-smart contract van Limit Break heeft geleid tot grootschalig misbruik van historische listings op Magic Eden. Het protocol werd tussen februari en oktober 2024 door het platform gebruikt voor de afhandeling van transacties op diverse EVM-netwerken. Hoewel Magic Eden het gebruik van dit specifieke contract al in oktober 2024 staakte en zijn volledige EVM-marktplaats in het eerste kwaprtaal van 2026 sloot, bleven historische goedkeuringen van gebruikers op de blockchain actief.

Kwetsbaarheid in smart contract leidt tot misbruik

Door de fout in het contract konden kwaadwillenden transacties uitvoeren namens gebruikerswallets zonder dat daar een handtekening voor nodig was. Dit stelde aanvallers in staat om actieve goedkeuringen te misbruiken om NFT's gratis weg te sluizen of gekoppelde tokens, zoals Wrapped Ether, te stelen. Uit schattingen blijkt dat aanvallers op netwerken als Ethereum, Polygon en Base al voor ten minste 2,8 miljoen dollar aan cryptovaluta en NFT's hebben buitgemaakt via deze openstaande autorisaties.

Grootschalige reddingsoperatie en actie vereist

Om verdere schade te beperken, heeft een groep ethische hackers onder leiding van blockchain-onderzoeker 0xQuit een grootschalige reddingsoperatie op touw gezet. Hierbij zijn meer dan 23.000 kwetsbare NFT's, met een gezamenlijke geschatte waarde van ruim 5,7 miljoen dollar, tijdelijk ondergebracht in een veilige wallet.

Magic Eden heeft in een reactie benadrukt dat de huidige, actieve aanbiedingen op het platform niet in gevaar zijn. Wel dringt het platform er bij voormalige EVM-gebruikers met klem op aan om historische goedkeuringen voor Payment Processor V2 onmiddellijk te controleren en in te trekken via diensten zoals revoke.cash.