MAGIC: Beyaz Şapkalı Kurtarma Magic Eden Açığında 5,7 Milyon Dolar Değerinde 23.155 NFT'yi Güvenceye Aldı

23.155 NFT'lik Whitehat Kurtarma Operasyonu

Magic Eden, Cuma günü yayımladığı uyarıyla kullanıcıları önemli bir güvenlik açığı konusunda alarma geçirdi: Şubat ile Ekim 2024 arasında, şu anda tamamen kapatılmış olan EVM pazar yerinde — Ethereum ve uyumlu zincirlerini kapsayan bölümde — listelenen NFT'ler, Limit Break'in NFT takas ve mutabakat protokolü Payment Processor V2'deki bir açığa hâlâ açık durumda. Yuga Labs'ın blockchain başkan yardımcısı Quit (0xQuit), X'te yayımladığı ayrıntılı bir paylaşımda bir saldırganın bu açığı Doğu Amerika saatiyle sabah 09.00'da kötüye kullanarak 10 Meebits, 50 Otherdeeds, 10 World of Women NFT'si ve 235 Desperate ApeWives çaldığını açıkladı. Magic Eden, takasları mutabakatla sonuçlandırmak için bu sözleşmeyi 2024'te devreye almış, aynı yılın Ekim ayında kullanmayı bırakmış ve EVM pazar yerini 2026'nın başında tamamen kapatmıştı — yine de artık kullanılmayan PayFi tarzı mutabakat yetkileri eski listelemeleri riske atmayı sürdürüyordu. Şirketin açıklaması net: “Magic Eden'de aktif olan hiçbir listeleme etkilenmedi.”

Yüzlerce Cüzdan Etkilendi

İlk değerlendirmeler olayın gerçek çapını olduğundan küçük gösteriyordu. İlk tarama dalgasında, yüzlerce cüzdandan 3.832 NFT güvene alınmıştı — ama bu sayı yalnızca müdahalenin ilk saatlerini yansıtıyordu. Bu bağlamda whitehat kurtarma, güvenilir güvenlik araştırmacılarının savunmasız varlıklarını saldırganlardan önce güvenli gözyete aktarması ve risk ortadan kalkınca sahiplerine iade etmesi işlemidir. 0xQuit'in zaman çizelgesine göre şüpheli zafiyet, ilk hırsızlıktan ancak 12 saatten fazla bir süre sonra Yuga Labs'ın blockchain ekibine bildirildi; bu da saldırgana epey bir avantaj sağladı. Uyarı ayrıca, güvenlik takipçilerinin yılın en büyük kripto saldırısı olarak nitelediği, kimliği belirsiz hackerların Bitget borsasından Ethereum ve diğer varlıklar olmak üzere 380 milyon dolardan fazlasını boşaltmasının bir gün sonra geldi.

Whitehat'ların sahibinin imzası olmadan varlıkları taşıyabilmesi, eski onay modelinin ne kadar cömert olduğunu gözler önüne seriyor. Kullanıcılar NFT listelediklerinde tipik olarak bir sözleşmeye “approved for all” (tümü için onaylı) yetkisi veriyor ve bu yetki, açıkça iptal edilene kadar geçerli kalıyor — yani ele geçirilmiş mutabakat yolunu çağırabilen herkes, varlıkların fiilen kontrolünü ele geçirebiliyor. Limit Break, aynı zafiyeti taşıyan Payment Processor V3'ü duraklatmayı başardı; ancak V2 duraklatılamıyordu ve geriye tek savunma olarak koordineli bir transfer kaldı. 2024'ten bu yana pazar yerine hiç dokunmamış kullanıcılar bile, uykuda sandığı sözleşmelerde hâlâ aktif yetkiler taşıyor olabilir — bu risk, private key güvenliği ile pazar yeri altyapısının tam kesişiminde duruyor.

Magic Eden'in Önce İptal Stratejisi

Magic Eden'in talimatı net: EVM pazar yerinde listeleyen veya işlem yapan herkes, Revoke.cash üzerinden Ethereum, Polygon ve Base ağlarında V2 sözleşmesinin “approved for all” yetkilerini iptal etmeli. Şirket, iptal işleminin zaten elden çıkmış tokenları geri getirmeyeceği ve Ekim 2024'ten sonra oluşturulan listelemelerin etkilenmemesinin beklendiği konusunda kullanıcıları uyardı. Ayrıca Payment Processor V2'yi Ekim 2024'te kullanmayı bıraktığını ve EVM pazar yerini 2026'nın ilk çeyreğinde kapattığını doğruladı; yani aktif hiçbir listeleme açığa maruz kalmadı. Solana'da otomatik piyasa yapıcı (AMM) likidite havuzlarıyla yükselip sonra çok zincirli modele geçen pazar yeri, Şubat ayında Ethereum ve Bitcoin desteğini bırakarak Solana ve kripto casinoları Dicey'ye odaklanmıştı.

Kurtarma Kapandığında 660 WETH Kurtarılamadı

Son bilanço, operasyonun hem büyüklüğünü hem maliyetini gösteriyor. Yuga Labs CEO'su Michael Figge, zafiyetin müdahale başlamadan yalnızca birkaç saat önce tespit edildiğini söyledi; 0xQuit ise toplamda 5,7 milyon doların üzerinde değer taşıyan 23.155 NFT'nin güvene alındığını ve sahiplerinin onayları iptal ettikten sonra bunları geri alabileceğini doğruladı. Buna karşılık, açığın ters yönlü versiyonuna maruz kalan yaklaşık 660 WETH zamanında kurtarılamadı. Quit, kullanıcıların iptal işlemi yapabilmesi için Payment Processor V2 (Ethereum) ve V3 (ApeChain) sözleşme adreslerini yayımladı; Magic Eden de Limit Break ile birlikte ek azaltma önlemleri üzerinde çalışmayı sürdürdüğünü bildirdi. Kurtarılan NFT'ler, güvenli iadeye kadar 0x71cF ile başlayan bir adreste birleştiriliyor.

Asıl Saldırı Yüzeyi: Uykudaki Onaylar

Sahiplerin kurtarılan tokenlarını geri alabilmesi için özel bir talep sitesi şu anda yayında. 0xQuit, Cumartesi gecesi geç saatlerde duyurduğu portala göre — nftsaresafu.xyz adresinde barındırılan ve resmi adres olan bu sitede, özel mesajlarla dolaşan sahte “claim” sitelerine karşı kullanıcılar uyarıldı — sahipler NFT'lerini standart gas ücreti dışında bir bedel ödemeden geri alabiliyor; ancak önce olaya yol açan Payment Processor onayını iptal etmeleri gerekiyor. Duyuru anında, kurtarılan 26.448 varlıktan yaklaşık 2.357'si talep edilmişti. ERC721C veya ERC1155C koleksiyonlarının sahipleri transfer kontrol bloklarıyla karşılaşabilir; ayarlarını düzenlemeleri ya da siteyi izin listelerine eklemeleri gerekebilir, düzeltmelerin önümüzdeki günlerde geleceği vaat ediliyor. OpenSea ortak kurucusu Alex Atallah, ekibinin yeniden satışı engellemek için 3.000'den fazla öğeyi çalınmış olarak işaretlediğini söyledi. Piyasayı gerçek zamanlı izlemek isteyen okuyucular canlı spot ve vadeli fiyatları Binance üzerinden takip edebilir.