Un hacker éthique sauve 23 155 NFT après une faille chez Limit Break

Une faille de sécurité dans le contrat Limit Break Payment Processor V2 a donné lieu à une vaste opération de sauvetage whitehat, permettant de sécuriser 23 155 NFT d’une valeur de plus de 5,7 millions de dollars. La place de marché NFT Magic Eden semblait initialement concernée, mais la vulnérabilité se trouvait dans un contrat de paiement externe. Tout n’a pas pu être sauvé à temps : environ 660 WETH n’ont pas été récupérés.

En bref :

• Un whitehat a sécurisé 23 155 NFT après la découverte d’une vulnérabilité dans Limit Break Payment Processor V2
• 0xQuit, vice-président de la blockchain chez Yuga Labs, a dirigé l’opération de sauvetage et conserve les NFT jusqu’à ce qu’ils puissent être restitués en toute sécurité
• Magic Eden a cessé d’utiliser Payment Processor V2 en octobre 2024 et affirme qu’aucune annonce en cours n’a été touchée

Un whitehat retire des milliers de NFT de centaines de portefeuilles

Les premiers signaux sont venus du compte communautaire NFT Cirrus, qui a vu un portefeuille retirer 3 832 NFT de centaines de portefeuilles différents en peu de temps. Cela a d’abord donné l’impression d’une attaque, mais l’action s’est révélée être une intervention préventive d’un whitehat.

Derrière le compte 0xQuit se cache le vice-président de la blockchain de Yuga Labs. Il a confirmé que les NFT sont stockés en lieu sûr à une adresse commençant par 0x71cF et seront restitués à leurs propriétaires d’origine dès que le risque sera écarté. Michael Figge, PDG de Yuga Labs, a indiqué que la faille avait été découverte plusieurs heures plus tôt et que 0xQuit gère les biens concernés dans le cadre de l’opération de sauvetage whitehat.

La faille se situe dans le contrat Limit Break, pas chez Magic Eden

Un examen plus approfondi a révélé que la vulnérabilité ne se trouvait pas chez Magic Eden, mais dans le contrat Limit Break Payment Processor V2 sur Ethereum. La même faille aurait également permis de voler des WETH. Le risque n’était pas théorique : environ 660 WETH n’ont pas pu être sécurisés à temps.

En outre, Payment Processor V3 sur ApeChain est touché par un problème similaire. 0xQuit a rendu publiques les adresses des contrats de V2 sur Ethereum et de V3 sur ApeChain, et conseille aux utilisateurs de révoquer leurs autorisations via un outil comme Revoke Cash.

Magic Eden : aucune annonce en cours touchée

Magic Eden indique avoir cessé d’utiliser Payment Processor V2 dès octobre 2024 et avoir fermé la place de marché EVM au premier trimestre 2026. Aucune annonce en cours n’a donc été touchée par l’incident. Les NFT mis en vente sur la place de marché EVM entre environ février et octobre 2024 ont toutefois pu être exposés à la faille.

Magic Eden affirme poursuivre l’enquête et collaborer avec Limit Break à des mesures complémentaires. Les utilisateurs disposant d’anciennes autorisations NFT sont invités à les révoquer au plus vite pour éviter tout risque supplémentaire.