Magic Eden 舊合約漏洞 白帽轉走 3,832 個 NFT 先救後還

Magic Eden 舊合約漏洞 白帽轉走 3,832 個 NFT 先救後還

NFT 交易平台 Magic Eden 一份舊以太坊交易合約被發現存在漏洞。周五（25 日）凌晨，一個錢包透過該合約從數百個錢包轉走 3,832 個 NFT，每宗交易都以 0 ETH「成交」。Yuga Labs 區塊鏈副總裁 0xQuit 其後確認，這是他牽頭的白帽救援行動。

白帽救援是指保安研究人員利用攻擊者同樣可以利用的漏洞，搶先把資產轉移到安全位置，而非盜取。

追蹤帳戶率先發現

據 The Crypto Times 報道，NFT 追蹤帳戶 Cirrus 在協調世界時 06:31（香港時間 14:31）率先發現，一個錢包從數百個錢包抽走 3,832 個 NFT，資金來源似乎與 0xQuit 有關。Cirrus 其後發現每個被轉走的 NFT 都顯示在 Magic Eden 以 0 ETH 售出，並呼籲曾使用該平台的用戶撤銷授權。

0xQuit 在 06:47 回覆 Cirrus：「這是白帽行動，錢包 0x71cF…fe33 內的所有資產都安全，會在不再有風險時歸還。」Yuga Labs 行政總裁 Michael Figge 亦表示，漏洞在數小時前被發現，0xQuit 正進行白帽救援，「一切安全，稍後有更多資料」。

資料來源：The Crypto Times、Metaverse Post

Magic Eden 未確認

Magic Eden 暫未確認事件的性質及規模，亦未公布歸還 NFT 的時間。Magic Eden 以 Solana 業務最為人熟悉。

0xQuit 是知名 Solidity 審計人員，今年 6 月曾在 NFT 流動性平台 Flooring Protocol 進行類似救援，搶先把 68 個高價值 NFT 轉移至 Yuga Labs 保管，包括 Bored Ape 及 CryptoPunks。

用戶應撤銷舊授權

事件突顯舊有合約授權的風險：用戶即使早已不再使用某個平台，只要未撤銷授權，相關合約仍可能動用錢包內的資產。曾在 Magic Eden 以太坊市場交易的用戶，應盡快檢查並撤銷舊有的 NFT 授權。

來源

• Magic Eden Ethereum Flaw: Whitehat 0xQuit Secures 3,832 NFTs, Users Told to Revoke Approvals（The Crypto Times）
• Magic Eden Suspected Of NFT Security Vulnerability As White Hat Moves 3,832 NFTs（Metaverse Post）