Magic Eden、旧Ethereum NFT出品がPayment Processorの脆弱性に晒されていると警告

要約

• Magic Edenは、2024年2月から10月の間に、現在は閉鎖されている同社のEVMマーケットプレイスに出品されたNFTが、Limit BreakのPayment Processor V2における脆弱性の影響を受ける可能性があると警告しました。
• Yuga Labsの0xQuitは、ホワイトハット作戦により570万ドル以上の価値がある23,155個のNFTが救出されたものの、660 WETHは回収できなかったと述べました。
• ユーザーはEthereum、Polygon、Baseにおけるコントラクトの承認を無効化（リボーク）する必要があります。承認を無効化しても、すでに移動してしまったトークンは戻りません。

Magic EdenはEthereumから撤退したかもしれませんが、一部の旧ユーザーのNFTは依然としてリスクにさらされていました。

同マーケットプレイスは金曜日、2024年2月から10月頃にEVMマーケットプレイスに出品されたNFTが、Limit Breakによって構築・維持されているNFT取引プロトコル「Payment Processor V2」の脆弱性の影響を受ける可能性があると警告しました。

EVMとは、Ethereumおよびそれと互換性のあるブロックチェーンを指します。Magic Edenは2024年に取引決済のためにこのコントラクトを採用しましたが、同年10月に使用を停止し、2026年初頭にEVMマーケットプレイスを完全に閉鎖しました。

「現在Magic Edenに出品されているものに、この脆弱性による影響はありません」と同社はXで述べました。

問題は、残存している承認にあります。ユーザーがNFTを出品する際、通常はコントラクトに対してNFTを移動させる許可を与えますが、その許可は無効化されるまで有効なままとなります。

Magic Edenは、同社のEVMマーケットプレイスで出品や取引を行ったことのあるすべての人に対し、Revoke.cashを使用してEthereum、Polygon、Base上のV2コントラクトの「approved for all」権限を無効化するよう促しました。なお、無効化してもすでに移動済みのトークンは戻らないと注意を促しています。

Yuga Labsのブロックチェーン担当バイスプレジデントである0xQuit氏は、攻撃者がこのバグを利用して10個のMeebits、50個のOtherdeeds、10個のWorld of Women NFT、および235個のDesperate ApeWivesを奪ったと述べました。Limit Breakは同じ欠陥を持つPayment Processor V3を停止させましたが、V2は停止できませんでした。そのため、攻撃者が手を出す前に友好的なハッカーが脆弱な資産を安全な場所へ移動させる「ホワイトハット救出作戦」が実施されました。

「合計で、570万ドル以上の価値がある23,155個のNFTを救出しました」と0xQuit氏は記しました。同氏によれば、所有者は承認を無効化した後、これらを回収できるようになるとのことです。

しかし、この脆弱性の逆バージョンにさらされていた660 WETH（ラップドイーサリアム）は、間に合わず回収できませんでした。

Magic Edenは、Solanaと自社の暗号資産カジノ「Dicey」に注力するため、2月にEthereumとBitcoinのサポートを終了しました。その後、マルチチェーンウォレットの提供も終了しています。

この出来事は、暗号資産ユーザーにとって困難な時期に起こりました。ちょうど昨日、正体不明のハッカーがBitget取引所から3億8000万ドル以上のEthereumなどの暗号資産を奪い、今年最大の暗号資産ハッキング事件となりました。

Daily Debrief Newsletter

毎日のトップニュースに加えて、独自の特集、ポッドキャスト、動画などを毎日お届けします。