Magic Eden đã thúc giục người dùng của sàn giao dịch EVM trước đây của mình thu hồi các chấp thuận của Legacy Limit Break Payment Processor V2 trên Ethereum, Polygon và Base.

Vào ngày 26/9, Revoke.cash báo cáo đã có ít nhất 2,8 triệu USD NFT và token bị đánh cắp trên Ethereum, Polygon, Base, Arbitrum và ApeChain.

Revoke.cash cũng cho biết các nhà nghiên cứu mũ trắng đã cứu hơn 23.000 NFT trị giá trên 5,7 triệu USD. Việc thu hồi một chấp thuận không thể hoàn lại các tài sản đã được chuyển, theo TokenPost.

Lỗ hổng trong Limit Break V2 đã lan tới năm mạng

Theo Cơ sở dữ liệu Tấn công Exploit của Revoke.cash, kẻ tấn công đã bắt đầu khai thác một lỗ hổng trong Limit Break Payment Processor V2 vào ngày 24/9. Bộ xử lý này vẫn giữ các quyền được cấp bởi người dùng của sàn giao dịch Ethereum cũ của Magic Eden, biến các phê duyệt cũ thành tuyến đường được sử dụng trong cuộc tấn công.

Revoke.cash cho biết các vụ trộm xảy ra trên Ethereum, Polygon, Base, Arbitrum và ApeChain. Con số thiệt hại 2,8 triệu USD mà họ báo cáo được mô tả là mức tối thiểu, trong khi hoạt động khôi phục do “white-hat” dẫn dắt được thực hiện bởi nhà nghiên cứu an ninh 0xQuit.

Ngay cả khi một tài sản được liệt kê chưa được chuyển nhượng, người dùng vẫn có thể cần phải hành động nếu còn phê duyệt (approval) hiện hữu. Chỉ riêng các con số tổng bị đánh cắp và được thu hồi cũng không đủ để khẳng định rằng mọi tài sản bị phơi bày đều đã được bảo đảm.

Các listing của Magic Eden năm 2024 còn phê duyệt

Bộ xử lý dễ bị tổn thương đã được dùng cho sàn giao dịch EVM của Magic Eden trong năm 2024. Nền tảng này cho biết các listing được tạo vào khoảng từ tháng 2 đến tháng 10/2024 có thể bị ảnh hưởng, trong khi các listing Magic Eden đang hoạt động hiện tại không bị tác động, theo báo cáo của Cointelegraph.

Vì vậy, cảnh báo này được nhắm tới những người đã tương tác với sàn giao dịch trước đó chứ không phải toàn bộ hoạt động Magic Eden hiện tại. Những người dùng đó nên xem xét và thu hồi quyền (permission) của Limit Break Payment Processor V2 trên Ethereum, Polygon và Base; bước này xử lý phần phê duyệt còn tồn đọng nhưng không thể thu hồi các tài sản đã bị chuyển nhượng trong vụ khai thác.

Cảnh báo: Bài viết này chỉ được cung cấp cho mục đích thông tin. Bài viết không được cung cấp hoặc không nhằm mục đích để sử dụng như tư vấn pháp lý, thuế, đầu tư, tài chính hoặc bất kỳ loại tư vấn nào khác.