Whitehat redt 23.155 NFTs na kwetsbaarheid in Limit Break

Een beveiligingslek in het Limit Break Payment Processor V2 contract heeft geleid tot een grootschalige whitehat reddingsactie waarbij 23.155 NFTs met een waarde van meer dan $5,7 miljoen zijn veiliggesteld. Aanvankelijk leek NFT marktplaats Magic Eden betrokken, maar de kwetsbaarheid bleek in een extern betalingscontract te zitten. Niet alles kon op tijd worden gered: circa 660 WETH is niet teruggehaald.

In het kort:

• Een whitehat heeft 23.155 NFTs veiliggesteld na een kwetsbaarheid in Limit Break Payment Processor V2
• Yuga Labs VP of Blockchain 0xQuit leidde de reddingsactie en bewaart de NFTs totdat ze veilig kunnen worden teruggegeven
• Magic Eden stopte in oktober 2024 met Payment Processor V2 en stelt dat geen actuele listings zijn getroffen

Whitehat trekt duizenden NFTs uit honderden wallets

De eerste signalen kwamen van NFT community account Cirrus, die zag hoe een wallet in korte tijd 3.832 NFTs uit honderden verschillende wallets weghaalde. Dat wekte aanvankelijk de schijn van een aanval, maar de actie bleek een preventieve ingreep door een whitehat.

Achter het account 0xQuit gaat de VP of Blockchain van Yuga Labs schuil. Hij bevestigde dat de NFTs veilig zijn opgeslagen op een adres dat begint met 0x71cF en worden teruggegeven aan de oorspronkelijke eigenaren zodra het risico is geweken. Yuga Labs CEO Michael Figge liet weten dat het lek al enkele uren eerder was ontdekt en dat 0xQuit de getroffen bezittingen beheert binnen de whitehat reddingsoperatie.

Lek zit in Limit Break contract, niet bij Magic Eden

Nader onderzoek wees uit dat de kwetsbaarheid niet bij Magic Eden zelf lag, maar in het Limit Break Payment Processor V2 contract op Ethereum. Via hetzelfde lek zou ook WETH kunnen worden gestolen. Dat bleek geen theoretisch risico: ongeveer 660 WETH kon niet op tijd worden veiliggesteld.

Bovendien is Payment Processor V3 op ApeChain door een vergelijkbaar probleem getroffen. 0xQuit heeft de contractadressen van zowel V2 op Ethereum als V3 op ApeChain openbaar gemaakt en raadt gebruikers aan hun goedkeuringen in te trekken via een tool als Revoke Cash.

Magic Eden: geen actuele listings getroffen

Magic Eden geeft aan dat het in oktober 2024 al stopte met het gebruik van Payment Processor V2 en dat de EVM marktplaats in het eerste kwartaal van 2026 werd gesloten. Daardoor zijn geen lopende listings getroffen door het incident. NFTs die tussen ongeveer februari en oktober 2024 op de EVM marktplaats stonden, kunnen wel zijn blootgesteld aan het lek.

Magic Eden zegt het onderzoek voort te zetten en werkt samen met Limit Break aan aanvullende maatregelen. Gebruikers met oudere NFT goedkeuringen worden aangeraden deze zo snel mogelijk in te trekken om verder risico te vermijden.