Whitehat rettet 23.155 NFTs nach Schwachstelle bei Limit Break

Eine Sicherheitslücke im Limit Break Payment Processor V2 Contract hat eine groß angelegte Whitehat-Rettungsaktion ausgelöst, bei der 23.155 NFTs im Wert von mehr als 5,7 Millionen Dollar sichergestellt wurden. Zunächst sah es so aus, als sei der NFT-Marktplatz Magic Eden betroffen, doch die Schwachstelle steckte in einem externen Zahlungsvertrag. Nicht alles ließ sich rechtzeitig retten: Rund 660 WETH wurden nicht zurückgeholt.

In Kürze:

• Ein Whitehat hat 23.155 NFTs sichergestellt, nachdem eine Schwachstelle in Limit Break Payment Processor V2 entdeckt wurde
• Yuga Labs VP of Blockchain 0xQuit leitete die Rettungsaktion und verwahrt die NFTs, bis sie sicher zurückgegeben werden können
• Magic Eden stellte im Oktober 2024 die Nutzung von Payment Processor V2 ein und erklärt, dass keine aktuellen Listings betroffen sind

Whitehat zieht Tausende NFTs aus Hunderten Wallets

Die ersten Hinweise kamen vom NFT-Community-Account Cirrus, der beobachtete, wie eine Wallet in kurzer Zeit 3.832 NFTs aus Hunderten verschiedener Wallets abzog. Das erweckte zunächst den Anschein eines Angriffs, doch die Aktion entpuppte sich als präventiver Eingriff eines Whitehats.

Hinter dem Account 0xQuit verbirgt sich der VP of Blockchain von Yuga Labs. Er bestätigte, dass die NFTs sicher auf einer Adresse verwahrt werden, die mit 0x71cF beginnt, und an die ursprünglichen Eigentümer zurückgegeben werden, sobald die Gefahr gebannt ist. Yuga Labs CEO Michael Figge ließ wissen, dass die Lücke bereits einige Stunden zuvor entdeckt worden war und dass 0xQuit die betroffenen Vermögenswerte im Rahmen der Whitehat-Rettungsaktion verwaltet.

Lücke steckt im Limit-Break-Contract, nicht bei Magic Eden

Weitere Untersuchungen ergaben, dass die Schwachstelle nicht bei Magic Eden selbst lag, sondern im Limit Break Payment Processor V2 Contract auf Ethereum. Über dieselbe Lücke ließe sich auch WETH stehlen. Das erwies sich nicht als theoretisches Risiko: Etwa 660 WETH konnten nicht rechtzeitig sichergestellt werden.

Darüber hinaus ist Payment Processor V3 auf ApeChain von einem ähnlichen Problem betroffen. 0xQuit hat die Contract-Adressen sowohl von V2 auf Ethereum als auch von V3 auf ApeChain veröffentlicht und rät Nutzern, ihre Genehmigungen über ein Tool wie Revoke Cash zu widerrufen.

Magic Eden: Keine aktuellen Listings betroffen

Magic Eden gibt an, die Nutzung von Payment Processor V2 bereits im Oktober 2024 eingestellt zu haben, und dass der EVM-Marktplatz im ersten Quartal 2026 geschlossen wurde. Daher sind keine laufenden Listings von dem Vorfall betroffen. NFTs, die zwischen etwa Februar und Oktober 2024 auf dem EVM-Marktplatz eingestellt waren, können jedoch der Lücke ausgesetzt gewesen sein.

Magic Eden erklärt, die Untersuchung fortzusetzen, und arbeitet mit Limit Break an zusätzlichen Maßnahmen. Nutzern mit älteren NFT-Genehmigungen wird empfohlen, diese schnellstmöglich zu widerrufen, um weitere Risiken zu vermeiden.