Magic Eden khuyến nghị thu hồi quyền phê duyệt NFT cũ, không ảnh hưởng lệnh hiện tại

Một lỗ hổng đã được phát hiện trong giao thức giao dịch NFT từng được sử dụng cho các lệnh trên thị trường EVM của Magic Eden. Các lệnh hiện còn hiệu lực không bị ảnh hưởng, nhưng người dùng từng niêm yết hoặc giao dịch NFT trên Magic Eden trong giai đoạn từ tháng 2 đến tháng 10 năm 2024 nên kiểm tra quyền phê duyệt.

Magic Eden ngày 25 cho biết lỗ hổng liên quan đến Payment Processor V2, giao thức giao dịch NFT do Limit Break quản lý. Magic Eden từng sử dụng giao thức này để xử lý thanh toán giao dịch trên thị trường EVM (Ethereum Virtual Machine) vào năm 2024.

Magic Eden đã ngừng sử dụng Payment Processor V2 vào tháng 10 năm 2024. Sau đó, nền tảng này hoàn tất việc đóng thị trường EVM trong quý I/2026, đồng thời cho biết lệnh hiện tại trên Magic Eden không bị ảnh hưởng bởi lỗ hổng.

Các lệnh EVM hiện được Magic Eden quản lý ngoài chuỗi. Nền tảng này cho biết sau khi dừng hỗ trợ EVM, các lệnh và giá chào mua không còn được hiển thị hoặc thực thi, đồng thời tài sản và tiền của người dùng không bị khóa trong cấu trúc này.

Tuy nhiên, các token không thể thay thế (NFT) từng được niêm yết có thể vẫn tiềm ẩn rủi ro riêng. Người dùng từng niêm yết hoặc giao dịch NFT trên thị trường EVM của Magic Eden trong giai đoạn trên có thể đã cấp quyền ‘Approve for All’ cho Payment Processor V2.

‘Approve for All’ là cơ chế cho phép một hợp đồng thông minh cụ thể chuyển NFT trong ví thay cho người dùng. Việc hủy lệnh trên sàn và thu hồi quyền phê duyệt đã cấp cho hợp đồng thông minh là hai thao tác khác nhau.

Magic Eden hướng dẫn người dùng truy cập Revoke.cash trên các mạng Ethereum, Polygon và Base, tìm hợp đồng ‘Limit Break: Payment Processor (V2)’ rồi thu hồi quyền phê duyệt NFT. Việc thu hồi nhằm ngăn tài sản bị chuyển trong tương lai, nhưng không thể hoàn tác các giao dịch chuyển tài sản đã xảy ra.

Magic Eden đang điều tra lỗ hổng cùng Limit Break. Nền tảng này cũng cho biết đang triển khai thêm các biện pháp giảm thiểu, trong đó có việc tạm dừng chuyển tài sản thông qua giao thức trên.

Magic Eden cảm ơn nhà nghiên cứu bảo mật mũ trắng 0xQuit vì đã báo cáo lỗ hổng và phối hợp xử lý. ‘Mũ trắng’ là cách gọi các nhà nghiên cứu bảo mật phát hiện lỗ hổng rồi tập trung ngăn thiệt hại và báo cáo thay vì tấn công.

Payment Processor V2 là giao thức giao dịch được phát triển để thực thi tiền bản quyền và các điều kiện giao dịch NFT trên chuỗi. Trong tài liệu công bố năm 2024, Limit Break cho biết Magic Eden và Reservoir đã tích hợp giao thức này trên Ethereum, Polygon và Base.

TokenPost trước đó đã đưa tin về khuyến nghị hủy phê duyệt các hợp đồng liên quan đến Payment Processor V2 và V3. Hướng dẫn lần này nhấn mạnh người dùng cần kiểm tra riêng trạng thái phê duyệt hợp đồng thông minh được cấp trong các giao dịch trước đây, thay vì chỉ kiểm tra các lệnh hiện tại trên sàn.

Magic Eden và Limit Break đang điều tra phạm vi tài sản bị ảnh hưởng và khả năng thu hồi. Người dùng nên kiểm tra riêng lịch sử giao dịch trước đây và trạng thái phê duyệt.