Magic NFT : exploit de Magic Eden et risque lié à l’approbation héritée

L’ exploit de Magic Eden a montré que d’anciennes autorisations NFT peuvent rester dangereuses longtemps après qu’un marché a cessé d’utiliser un Smart Contract. Les approbations héritées de l’ancien marché EVM de Magic Eden ont exposé des NFT en raison d’une vulnérabilité dans le Payment Processor V2 de Limit Break. Cet incident est important pour les traders de NFT, car la clôture d’une annonce, le changement de marketplace ou l’abandon d’une plateforme ne révoque pas automatiquement l’autorisation on-chain.

Points clés à retenir

• Magic Eden a indiqué avoir cessé d’utiliser le Payment Processor V2 en octobre 2024 et avoir fermé son ancienne marketplace EVM au premier trimestre 2026, alors que les anciennes approbations sont restées actives.

• Une opération de sauvetage menée par des hackers éthiques a sécurisé 23 155 NFT d’une valeur supérieure à 5,7 millions de dollars avant que les attaquants ne puissent les prendre.

• Un vecteur d’exploit connexe a exposé 660 WETH, que l’équipe de sauvetage n’a pas pu récupérer à temps.

• Revoke.cash a enregistré au moins 2,8 millions de dollars volés aux utilisateurs du Payment Processor de Limit Break. Ce montant ne doit pas être considéré comme un total définitif, car le bilan de l’incident peut encore évoluer.

• Les utilisateurs ayant déjà interagi avec le smart contract concerné doivent vérifier et révoquer les autorisations inutiles, car les approbations de tokens peuvent rester actives indéfiniment tant qu’elles ne sont pas explicitement révoquées.

Comment l’exploit lié aux anciennes approbations de Magic Eden a-t-il fonctionné ?

La vulnérabilité se trouvait dans le Payment Processor V2 de Limit Break, un Smart Contract auparavant utilisé pour traiter les transactions sur la marketplace EVM de Magic Eden. Les utilisateurs qui souhaitaient vendre des NFT pouvaient accorder une autorisation « approve for all » permettant au Payment Processor de transférer des actifs issus de collections spécifiées.

Magic Eden a cessé d’utiliser le Payment Processor V2 en octobre 2024, mais l’arrêt de l’utilisation du Payment Processor n’a pas annulé les autorisations déjà inscrites on-chain. Magic Eden a ensuite fermé sa marketplace EVM au 1er trimestre 2026, mais certaines anciennes approbations sont restées valides.

Cette distinction est essentielle : les autorisations accordées à un smart contract n’expirent pas automatiquement lorsqu’une marketplace NFT ferme. Si un smart contract approuvé développe ou révèle ultérieurement une vulnérabilité, des attaquants peuvent encore être en mesure d’utiliser cette approbation vulnérable contre les utilisateurs concernés.

Magic Eden a indiqué que les NFT listés sur son ancienne marketplace EVM entre environ février et octobre 2024 pouvaient avoir été exposés et a précisé qu’aucune annonce active de Magic Eden n’était concernée.

Quels actifs ont été exposés ?

Les chercheurs en sécurité ont d’abord identifié un vol portant sur 10 Meebits, 50 Otherdeeds, 10 NFT World of Women et 235 Desperate ApeWives. La période d’exposition était bien plus longue que ne le laissaient penser les premières transactions.

Une opération de sauvetage ultérieure menée par des whitehats a transféré 23 155 NFT d’une valeur supérieure à 5,7 millions de dollars vers des adresses sécurisées avant que des acteurs malveillants ne puissent les prendre. Le Payment Processor V3 de Limit Break aurait été mis en pause après l’identification de la vulnérabilité, tandis que le V2 ne pouvait pas être mis en pause, ce qui a rendu l’opération de sauvetage particulièrement importante.

Les chercheurs ont ensuite découvert qu’un mécanisme connexe pouvait être utilisé en sens inverse contre des WETH approuvés. 660 WETH n’ont pas été récupérés après que l’équipe de sauvetage n’a pas pu sécuriser ces fonds à temps.

Le suivi des incidents de Revoke.cash a enregistré au moins 2,8 millions de dollars de NFT et de tokens volés sur les réseaux concernés. Ce nombre correspond à l’instantané documenté de l’incident par Revoke.cash et non à une estimation définitive des pertes finales.

Pourquoi les anciennes approbations NFT sont-elles importantes ?

Les anciennes approbations présentent un risque, car l’autorisation existe sur la Blockchain et pas uniquement sur le site web du marché.

Un utilisateur peut annuler des annonces actives, arrêter de trader, supprimer une application ou quitter complètement une marketplace, alors que l’autorisation sous-jacente accordée au smart contract reste active. Si ce smart contract est ensuite exploité, l’autorisation peut toujours permettre le transfert d’actifs.

C’est pourquoi la gestion des approbations est importante sur les marketplaces NFT, les applications DeFi et les autres plateformes Web3. Un principe similaire s’applique lorsque des DApp (Applications décentralisées) malveillantes obtiennent de larges autorisations sur des Tokens : l’attaquant peut ne pas avoir besoin de la clé privée ou de la phrase de récupération du portefeuille si une autorisation existante accordée à un smart contract permet déjà les transferts. Ce risque concerne également l’identification des schémas d’approbation malveillants de smart contracts.

Pour les smart contracts immuables ou qui ne peuvent pas être corrigés autrement, les opérateurs peuvent également disposer de capacités limitées pour arrêter une infrastructure héritée vulnérable après son déploiement. Les utilisateurs ne peuvent donc pas supposer que l’entreprise ou la marketplace pourra toujours révoquer une ancienne autorisation en leur nom.

Que doivent faire les utilisateurs concernés de Magic Eden ?

Les utilisateurs ayant interagi avec l’ancienne marketplace EVM de Magic Eden doivent vérifier leurs anciennes autorisations plutôt que de se fier au fait qu’ils disposent actuellement ou non d’une annonce NFT active.

Magic Eden a conseillé aux utilisateurs concernés par le Payment Processor V2 de révoquer l’approbation vulnérable sur Ethereum, Polygon et Base.

Une vérification de sécurité pratique comprend les étapes suivantes :

• Vérifier les approbations de NFT et de tokens liées aux marketplaces inactives.

• Révoquer les autorisations du Payment Processor V2 qui ne sont plus nécessaires.

• Vérifier plusieurs blockchains si le même portefeuille a été utilisé sur différents réseaux EVM.

• Auditer les autorisations après la vente de NFT ou le départ d’une marketplace.

• Considérer les demandes d’autorisation inconnues comme un risque de sécurité potentiel.

• Utiliser des outils reconnus de gestion des approbations, tels que l’outil de vérification des exploits et des approbations de Revoke.cash, pour examiner les autorisations exposées.

La révocation d’une approbation peut empêcher toute utilisation ultérieure de cette autorisation, mais elle ne permet pas de récupérer les actifs déjà transférés.

Comment Gate peut vous aider

Les utilisateurs qui interagissent avec des applications décentralisées au moyen d’un portefeuille dont ils détiennent la garde doivent examiner le réseau, le smart contract et les autorisations avant de signer une transaction. Gate Web3 Wallet prend en charge les actifs multi-chaînes et les interactions avec les DApp, mais les utilisateurs restent maîtres de leurs décisions d’autorisation on-chain.

Quel que soit le portefeuille utilisé, il est utile de vérifier régulièrement les approbations après des transactions de NFT, des activités DeFi ou des interactions avec des Smart Contracts qui sont ensuite retirés. La sécurité d’un portefeuille ne consiste donc pas seulement à protéger les clés privées, mais aussi à gérer les autorisations déjà accordées aux smart contracts.

Conclusion

L’incident de Magic Eden montre pourquoi les anciennes approbations NFT peuvent rester un risque de sécurité des années après leur création. La vulnérabilité du Payment Processor V2 a exposé plus de 5,7 millions de dollars de NFT avant que des whitehats ne sauvent 23 155 actifs, tandis que 660 WETH n’ont pas été récupérés. Les utilisateurs ayant interagi avec des marketplaces ou des smart contracts retirés devraient vérifier régulièrement les autorisations qui ne sont plus nécessaires et les révoquer.

FAQ

La marketplace actuelle de Magic Eden a-t-elle été piratée ?

Magic Eden a indiqué qu’ aucune annonce active de Magic Eden n’était concernée. L’exposition était liée aux anciennes approbations créées par l’intermédiaire de son ancienne marketplace EVM et du Payment Processor V2 de Limit Break.

Combien de NFT ont été sauvés lors de l’exploit de Magic Eden ?

L’opération menée par des whitehats a permis de sauver 23 155 NFT d’une valeur supérieure à 5,7 millions de dollars, selon les informations fondées sur la réponse à l’incident.

Quel a été le montant des pertes ?

Revoke.cash a enregistré au moins 2,8 millions de dollars volés dans le cadre plus large de l’incident impliquant le Payment Processor de Limit Break. Par ailleurs, les chercheurs ont indiqué que 660 WETH n’avaient pas pu être récupérés pendant l’opération de sauvetage. Ces chiffres ne doivent pas être additionnés mécaniquement, car le bilan d’un incident peut inclure des actifs, des réseaux et des instantanés de données différents.

Les approbations NFT expirent-elles automatiquement ?

En règle générale, une approbation on-chain reste valide jusqu’à sa révocation, son remplacement ou son invalidation d’une autre manière, conformément au smart contract ou au standard de token concerné. La fermeture d’une marketplace ou l’annulation d’une annonce ne garantit pas à elle seule la disparition de l’autorisation sous-jacente.

Qui doit vérifier les approbations du Payment Processor V2 ?

Les utilisateurs ayant listé ou tradé des NFT sur l’ancienne marketplace EVM de Magic Eden, en particulier pendant la période d’exposition comprise approximativement entre février et octobre 2024, doivent vérifier si d’anciennes autorisations du Payment Processor V2 restent actives sur les blockchains concernées.