Magic Eden เตือนว่ารายการขาย NFT บน Ethereum รายการเก่ามีความเสี่ยงต่อช่องโหว่ของตัวประมวลผลการชำระเงิน

เกิดอะไรขึ้นบ้าง

Magic Eden ออกประกาศเตือนเมื่อวันศุกร์ว่า NFT ที่ถูกลิสต์ไว้บนมาร์เก็ตเพลสฝั่ง EVM ของบริษัท ในช่วงประมาณเดือนกุมภาพันธ์ ถึง ตุลาคม 2024 อาจมีความเสี่ยงจากช่องโหว่ใน Payment Processor V2 ซึ่งเป็นโปรโตคอลซื้อขาย NFT ที่พัฒนาและดูแลโดย Limit Break

ปัญหาคือช่องโหว่ถูกใช้ประโยชน์จริง 0xQuit รองประธานฝ่าย Blockchain ของ Yuga Labs ระบุว่าผู้โจมตีใช้บั๊กขโมยไป 10 Meebits, 50 Otherdeeds, 10 World of Women และ 235 Desperate ApeWives ในวันเดียวกัน Limit Break ได้หยุดการทำงานของ Payment Processor V3 ชั่วคราวเพราะมีจุดอ่อนแบบเดียวกัน แต่ V2 หยุดไม่ได้ จึงต้องจัดการกู้คืนแบบ whitehat คือให้แฮกเกอร์ฝ่ายดีย้ายทรัพย์สินที่มีความเสี่ยงออกไปก่อนที่ผู้โจมตีจะแตะถึง

ผลลัพธ์: "รวมทั้งหมดเรากู้คืนได้ 23,155 NFT มูลค่ากว่า 5.7 ล้านดอลลาร์สหรัฐ" 0xQuit เขียนไว้ โดยเจ้าของจะเรียกคืนคอลเลกชันได้หลังจากเพิกถอนการอนุมัติแล้ว แต่มี WETH (Wrapped Ethereum) จำนวน 660 WETH ที่สัมผัสกับช่องโหว่ในรูปแบบกลับด้าน ซึ่งกู้คืนไม่ทัน

ทำไมมาร์เก็ตเพลสที่ปิดไปแล้วยังทำร้ายผู้ใช้ได้

จุดสำคัญอยู่ที่ "การอนุมัติ" (approval) ที่หลงเหลืออยู่ เมื่อผู้ใช้ลิสต์ NFT ขาย ส่วนใหญ่จะต้องให้สิทธิ์สัญญาอัจฉริยะในการย้าย NFT นั้น และสิทธิ์นี้ยังคงมีผลจนกว่าจะเพิกถอน

Magic Eden เองก็เดินทางมไกลแล้ว: รับใช้สัญญานี้ตั้งแต่ปี 2024 เลิกใช้ในเดือนตุลาคมปีเดียวกัน ปิดมาร์เก็ตเพลส EVM อย่างสมบูรณ์ต้นปี 2026 และตัดการรองรับ Ethereum กับ Bitcoin ตั้งแต่เดือนกุมภาพันธ์เพื่อโฟกัส Solana และคาสิโนคริปโต Dicey รวมถึงเลิกกระเป๋าเงินมัลติเชนไปแล้ว แต่สิทธิ์ที่ผู้ใช้เคยให้ไว้ยังค้างอยู่

ทางบริษัทย้ำว่า "ไม่มีรายการลิสต์ที่ยังใช้งานอยู่ของ Magic Eden ได้รับผลกระทบจากช่องโหว่นี้"

ผู้ใช้ควรทำอย่างไร

Magic Eden แนะนำให้ทุกคนที่เคยลิสต์หรือเทรดบนมาร์เก็ตเพลส EVM เพิกถอนสิทธิ์ "approved for all" ของสัญญา V2 บน Ethereum, Polygon และ Base โดยใช้ Revoke.cash แต่ต้องเข้าใจว่าการเพิกถอนจะไม่สามารถนำโทเคนที่ถูกย้ายไปแล้วกลับมาได้

บริบทกว้างกว่านั้น

เหตุการณ์นี้เกิดขึ้นในช่วงเวลาที่ไม่สบายใจนักสำหรับผู้ใช้คริปโต เพราะเพียงวันก่อนหน้า แฮกเกอร์ไม่ทราบตัวตนได้ขโมยคริปโตมูลค่ากว่า 380 ล้านดอลลาร์ เป็น Ethereum และสินทรัพย์อื่น ๆ จากเอ็กซ์เชนจ์ Bitget ถือเป็นเหตุแฮ็กคริปโตครั้งใหญ่ที่สุดของปีนี้ บทเรียนร่วมกันของทั้งสองเหตุการณ์คือสิทธิ์และการอนุมัติที่ค้างคาไว้บนบล็อกเชน คือประตูที่ยังไม่ได้ปิดล็อก แม้แพลตฟอร์มต้นทางจะหายไปนานแล้วก็ตาม