Duizenden NFT’s veiliggesteld na risico rond Magic Eden
Een mogelijke Magic Eden kwetsbaarheid heeft voor onrust gezorgd onder NFT-beleggers. Een beveiligingsonderzoeker verplaatste vrijdag 3.832 NFT’s uit honderden wallets naar één adres om de digitale bezittingen te beschermen. Yuga Labs bevestigt dat het om een voorzorgsmaatregel gaat. De NFT’s blijven daar totdat het mogelijke beveiligingsrisico voorbij is.
Magic Eden heeft nog niet bevestigd dat aanvallers daadwerkelijk misbruik hebben gemaakt van zijn smart contracts. Daardoor blijft voorlopig onduidelijk waar het probleem precies zit en hoe groot het risico was.
3.832 NFT’s verplaatst naar veilige wallet
De opvallende transacties kwamen aan het licht nadat duizenden NFT’s uit honderden verschillende wallets naar hetzelfde adres gingen. Op de blockchain leken de transacties aanvankelijk op verkopen via Magic Eden.
Dat zorgde direct voor zorgen binnen de NFT-markt. Beveiligingsonderzoekers adviseerden gebruikers om bestaande toestemmingen voor hun NFT’s te controleren en waar nodig in te trekken.
Niet veel later gaf 0xQuit, vice president of blockchain bij Yuga Labs, uitleg. Volgens hem zat een whitehat achter de transacties. De NFT’s zijn bewust naar een veilige wallet gebracht en gaan terug naar hun eigenaren zodra het gevaar verdwenen is.
Wat doet een whitehat?
Een whitehat is een beveiligingsonderzoeker die kwetsbaarheden opspoort zonder deze voor eigen gewin te misbruiken. Bij crypto kan zo iemand bijvoorbeeld tokens of NFT’s tijdelijk veiligstellen voordat een kwaadwillende hacker ze kan stelen.
In dit geval lijkt dat precies te zijn gebeurd. De whitehat kreeg toegang tot duizenden NFT’s en bracht ze onder in één wallet. Dat laat tegelijkertijd zien waarom de situatie serieus wordt genomen. Als een beveiligingsonderzoeker de NFT’s kon verplaatsen, bestaat de mogelijkheid dat een aanvaller hetzelfde had kunnen proberen.
Yuga Labs bevestigt beveiligingsprobleem
Yuga Labs-CEO Michael Figge bevestigde dat zijn team enkele uren voor de reddingsactie een kwetsbaarheid had ontdekt. Het bedrijf wil later meer technische informatie delen.
Het is nog niet vastgesteld dat het probleem rechtstreeks in Magic Eden zit. De transacties hadden een duidelijke relatie met de NFT-marktplaats, maar Magic Eden heeft geen exploit van zijn eigen smart contracts bevestigd.
Dat verschil is belangrijk. Een beveiligingsprobleem kan ook ontstaan door een gekoppeld contract of eerder verleende wallet-toestemmingen. De aanwezigheid van Magic Eden in de transacties bewijst daarom niet automatisch dat de marktplaats zelf is gehackt.
Waarom NFT approvals belangrijk zijn
NFT-platforms werken vaak met zogenoemde approvals. Daarmee geeft een gebruiker een smart contract toestemming om NFT’s vanuit een wallet te verplaatsen. Zo’n toestemming is bijvoorbeeld nodig wanneer iemand een NFT op een marktplaats te koop zet.
Een approval kan echter actief blijven nadat iemand het platform niet meer gebruikt. Als het bijbehorende smart contract later een kwetsbaarheid bevat, kan zo’n oude toestemming een risico vormen.
Voor NFT-beleggers is het daarom verstandig om regelmatig te controleren welke smart contracts toegang hebben tot hun wallet. Vooral na een beveiligingswaarschuwing kan het intrekken van ongebruikte approvals het risico beperken.
Niet de eerste NFT-reddingsactie
0xQuit hielp eerder bij een vergelijkbare situatie. In juni werkte hij mee aan het terughalen van 68 NFT’s na een exploit bij Flooring Protocol. Die NFT’s hadden gezamenlijk een waarde van meer dan $500.000.
De huidige operatie is met 3.832 NFT’s veel groter in omvang. Over de totale waarde van de veiliggestelde NFT’s is nog geen betrouwbaar bedrag bekendgemaakt.
Wat betekent dit voor Magic Eden-gebruikers?
Voor gebruikers is vooral belangrijk dat er nog veel onduidelijkheid bestaat. Yuga Labs spreekt over een ontdekte kwetsbaarheid, maar Magic Eden heeft niet bevestigd dat zijn eigen smart contracts zijn getroffen.
Totdat daar meer informatie over verschijnt, ligt de nadruk vooral op wallet-beveiliging. Gebruikers kunnen controleren welke NFT approvals nog actief zijn en ongebruikte toestemmingen intrekken. Dat voorkomt niet ieder beveiligingsprobleem, maar verkleint wel de toegang die oude smart contracts tot een wallet hebben.
Conclusie
De mogelijke Magic Eden kwetsbaarheid leidde tot een opvallende reddingsactie waarbij 3.832 NFT’s uit honderden wallets tijdelijk zijn veiliggesteld. Volgens Yuga Labs blijven de NFT’s beschermd en krijgen eigenaren ze terug zodra het risico is verdwenen.
Of Magic Eden zelf daadwerkelijk een exploit heeft gehad, staat nog niet vast. Meer technische informatie van Yuga Labs en een reactie van Magic Eden moeten duidelijk maken wat er precies is gebeurd.
Veelgestelde vragen
Is Magic Eden gehackt?
Dat is nog niet bevestigd. Yuga Labs meldde dat er een kwetsbaarheid was ontdekt, maar Magic Eden heeft niet bevestigd dat aanvallers zijn smart contracts hebben uitgebuit.
Zijn de 3.832 NFT’s gestolen?
Volgens Yuga Labs niet. Een whitehat heeft de NFT’s tijdelijk naar een veilige wallet verplaatst om te voorkomen dat kwaadwillenden er mogelijk toegang toe zouden krijgen.
Wat is een NFT approval?
Een NFT approval geeft een smart contract toestemming om bepaalde NFT’s vanuit een wallet te verplaatsen. Dit is vaak nodig om NFT’s via een marktplaats te verhandelen. Het intrekken van oude of ongebruikte approvals kan het beveiligingsrisico verkleinen.
