Des NFT déplacés à prix zéro : ce qui s’est passé avec Limit Break et Magic Eden

Voir des milliers de NFT quitter des portefeuilles contre zéro ETH avait tout d’un pillage. Le 25 septembre 2026, ces mouvements ont déclenché l’alerte autour de Magic Eden. Il fallait pourtant distinguer deux choses : des vols avaient bien eu lieu, mais la série de transferts qui attirait l’attention correspondait à une tentative de mettre d’autres NFT à l’abri. La faille se trouvait dans le Payment Processor de Limit Break, un protocole que Magic Eden avait auparavant utilisé, et non dans les annonces encore actives sur la plateforme. 192227

Des vols, puis un sauvetage visible sur la blockchain

Selon Revoke.cash, l’exploitation de la faille a commencé le 24 septembre 2026. Elle permettait d’agir au nom de portefeuilles ayant déjà autorisé le Payment Processor : un attaquant pouvait prendre des NFT sans payer ou vider des jetons autorisés en faisant acheter au portefeuille un NFT sans valeur. Aucune nouvelle signature du propriétaire n’était nécessaire. 39

Quit, également connu sous le nom de 0xQuit et vice-président chargé de la blockchain chez Yuga Labs, a fait état du vol de 10 Meebits, 50 Otherdeeds, 10 NFT World of Women et 235 Desperate ApeWives. Ce bilan ne doit pas être confondu avec les transferts observés ensuite. 927

Le 25 septembre, le négociant en NFT Cirrus a repéré un portefeuille déplaçant 3 832 NFT depuis des centaines de portefeuilles. Les opérations apparaissaient comme des ventes à zéro ETH liées à l’ancien marché Ethereum de Magic Eden. Quit a ensuite indiqué contrôler ce portefeuille : ces mouvements spectaculaires visaient à soustraire les NFT exposés aux attaquants. 1928

Avec Limit Break, l’opération de sauvetage a finalement placé 23 155 NFT, valorisés à plus de 5,7 millions de dollars, sous protection. Des comptes rendus mentionnent une adresse de garde commençant par 0x71cf et une restitution aux propriétaires lorsqu’elle pourra se faire sans risque. Cela ne signifie pas que tous les NFT ont déjà été rendus. 242737

Le sauvetage ne règle pas toutes les pertes : environ 660 WETH, une forme d’ether utilisable comme jeton, n’ont pas été récupérés à temps selon certains comptes rendus. D’autres les décrivent comme restant à risque. Dans les deux cas, la mise à l’abri des NFT ne prouve pas que ces fonds ont été récupérés. 2813

Pourquoi la fermeture du marché ne suffisait pas

Magic Eden indique avoir cessé d’utiliser Payment Processor V2 en octobre 2024, puis fermé son marché EVM — consacré aux réseaux compatibles avec Ethereum — au premier trimestre 2026. La plateforme cite comme potentiellement concernées des mises en vente effectuées approximativement de février à octobre 2024 et précise qu’aucune annonce Magic Eden encore active n’a été touchée. 522

La distinction est essentielle : une autorisation inscrite sur la blockchain peut permettre à un contrat de déplacer des actifs. Annuler une annonce ou fermer un marché ne révoque pas automatiquement cette permission. Un portefeuille matériel protège les clés privées, mais n’efface pas non plus une autorisation déjà accordée au contrat vulnérable. 739

Ce que les anciens utilisateurs doivent vérifier

Quit et Revoke.cash ont demandé de révoquer les autorisations de Payment Processor V2 sur Ethereum et de Payment Processor V3 sur ApeChain, au moyen de Revoke.cash ou d’un outil comparable. Magic Eden a également invité les anciens utilisateurs de son marché EVM à vérifier les autorisations V2 sur Polygon et Base ; Revoke.cash signale des attaques sur d’autres réseaux. Les propriétaires de NFT placés sous protection ont eux aussi été invités à révoquer les permissions concernées avant de récupérer leurs actifs. 22243538

Le point à retenir dépasse cette seule plateforme : retirer un NFT de la vente ne retire pas nécessairement au contrat l’accès qui lui avait été accordé. 739