Magic Eden, eski EVM pazarında Şubat ile Ekim 2024 arasında yapılan listelemelerin Limit Break'in Payment Processor V2 protokolündeki bir açık nedeniyle risk altında olduğunu açıkladı. Yuga Labs'ten 0xQuit öncülüğündeki beyaz şapkalı operasyonda 23.155 NFT kurtarılırken, 660 WETH kurtarılamadı.
Eski Ethereum Listelemelerinde Kritik Açık
Popüler NFT pazaryeri Magic Eden, geçmişte EVM tabanlı pazarında işlem yapan kullanıcıları eski listelemeler nedeniyle ortaya çıkan kritik bir güvenlik açığı konusunda uyardı. Şirketin açıklamasına göre, Şubat ile Ekim 2024 tarihleri arasında platformda bırakılan eski listelemeler, Limit Break tarafından geliştirilen Payment Processor V2 protokolündeki bir açıktan etkilenebilecek duruma geldi.
Magic Eden, her ne kadar 2024 yılının Ekim ayında bu akıllı sözleşmeyi kullanmayı bırakmış ve 2026'nın başlarında EVM pazaryerini tamamen kapatmış olsa da, geçmişteki akıllı sözleşme onaylarının kullanıcı cüzdanlarında aktif kalmaya devam etmesi riski beraberinde getirdi. Şirket, X üzerinden yaptığı resmi açıklamada, bu istismardan hiçbir canlı Magic Eden listelemesinin etkilenmediğini bildirdi.
İstismarın Ortaya Çıkışı ve Beyaz Şapkalı Operasyon
Olaylar zinciri, kötü niyetli bir aktörün Payment Processor V2 protokolündeki hatayı kötüye kullanarak 10 Meebits, 50 Otherdeeds, 10 World of Women ve 235 Desperate ApeWives NFT'sini çalmasıyla başladı. Yuga Labs Blokzincir Başkan Yardımcısı 0xQuit'in aktardığına göre, saldırının fark edilmesinden 12 saatten fazla süre sonra yapılan incelemeler, çok sayıda varlığın benzer bir tehlike altında olduğunu ortaya koydu.
Limit Break ekibi aynı kusuru barındıran Payment Processor V3 sözleşmesini durdurmayı başarırken, V2 sürümünün durdurulamaması acil bir müdahaleyi zorunlu kıldı. Bunun üzerine başlatılan beyaz şapkalı operasyonla birlikte dostane korsanlar, saldırganlardan önce davranarak savunmasız varlıkları güvenli cüzdanlara taşıdı.
0xQuit, operasyonun bilançosunu paylaşarak toplamda 5,7 milyon dolar değerinde 23.155 NFT'nin güvenli bir şekilde kurtarıldığını belirtti. Kurtarılan varlıkların sahipleri, cüzdanlarındaki onayları kaldırdıktan sonra NFT'lerini geri alabilecek. Buna karşın, açığın ters versiyonundan etkilenen 660 wrapped Ethereum varlığının ise zamanında kurtarılamadığı doğrulandı.
Kullanıcıların Alması Gereken Önlemler
NFT pazaryerlerinde listeleme yapılırken akıllı sözleşmelere tanınan tümüne izin ver yetkileri, işlem iptal edilse bile kullanıcılar manuel olarak iptal edene kadar aktif kalmaya devam ediyor. Bu durumun risk yaratması nedeniyle Magic Eden; Ethereum, Polygon ve Base ağlarında söz konusu V2 kontratına verilmiş olan bu yetkilerin Revoke.cash gibi araçlar vasıtasıyla derhal iptal edilmesini istedi. Uzmanlar, onayların kaldırılmasının halihazırda cüzdandan çıkmış olan token'ları geri getirmeyeceğini, ancak gelecekteki yetkisiz erişimleri önleyeceğini vurguluyor.
