Celah Limit Break dan Risiko Izin Lama di Dompet Pengguna Magic Eden

Bagi pengguna yang pernah bertransaksi di pasar NFT Magic Eden, menutup listing belum tentu mengakhiri akses kontrak ke aset di dompet. Itulah inti insiden Payment Processor milik Limit Break: celahnya memungkinkan pihak lain menyalahgunakan izin onchain yang pernah diberikan pengguna, walaupun Magic Eden sudah tidak lagi memakai protokol tersebut. Magic Eden menyatakan tidak ada listing aktifnya yang terdampak. 72239

Mengapa ribuan NFT tampak berpindah tanpa bayaran?

Menurut Revoke.cash, penyerang mulai memanfaatkan celah itu pada 24 September 2026. Mereka dapat bertindak atas nama dompet yang sebelumnya memberi izin kepada Payment Processor: mengambil NFT tanpa membayar, atau menguras token yang telah disetujui dengan membuat dompet membeli NFT yang tidak bernilai. 39

Quit, yang juga dikenal sebagai 0xQuit dan menjabat wakil presiden bidang blockchain di Yuga Labs, melaporkan pencurian 10 Meebits, 50 Otherdeeds, 10 NFT World of Women, dan 235 Desperate ApeWives. Angka ini berbeda dari ribuan NFT yang kemudian terlihat berpindah dalam operasi penyelamatan. 927

Pada 25 September, pedagang NFT Cirrus menyoroti satu dompet yang memindahkan 3.832 NFT dari ratusan dompet. Transaksinya terlihat seperti penjualan seharga 0 ETH melalui kontrak yang terkait dengan bekas pasar Ethereum Magic Eden. Quit kemudian mengatakan bahwa ia mengendalikan dompet tersebut: perpindahan yang mencolok itu bertujuan menjauhkan NFT yang rentan dari penyerang. 1928

Apa yang berhasil diamankan?

Bersama Limit Break, tim white-hat—pihak yang menggunakan celah untuk melindungi aset, bukan mencurinya—akhirnya memindahkan 23.155 NFT senilai lebih dari US$5,7 juta ke penyimpanan sementara. Laporan menyebut alamat penyimpanan yang diawali 0x71cf dan rencana agar pemilik dapat mengambil kembali aset ketika sudah aman. Diamankan sementara tidak berarti seluruh NFT sudah dikembalikan. 242737

Penyelamatan NFT itu juga tidak mencakup sekitar 660 WETH yang terkait jalur eksploitasi lain. Sumber berbeda dalam menggambarkan statusnya: ada yang menyebut dana tersebut hilang atau belum berhasil dipulihkan, sementara yang lain menyebutnya masih berisiko. Karena itu, keberhasilan mengamankan NFT tidak boleh diartikan sebagai pemulihan WETH tersebut. 2813

Pasar sudah tutup, mengapa izin masih berlaku?

Magic Eden mengatakan telah berhenti menggunakan Payment Processor V2 pada Oktober 2024 dan menutup pasar EVM-nya pada kuartal pertama 2026. Listing yang dibuat sekitar Februari hingga Oktober 2024 disebut berpotensi terdampak, tetapi tidak ada listing Magic Eden yang masih aktif terkena dampak insiden ini. EVM merujuk pada jaringan yang kompatibel dengan teknologi kontrak pintar Ethereum. 522

Yang perlu dibedakan adalah listing dan izin kontrak. Membatalkan listing tidak otomatis mencabut izin yang sebelumnya dicatat di blockchain. Eksploitasi ini bergantung pada izin lama tersebut, bukan tanda tangan baru dari pemilik; menyimpan kunci privat di hardware wallet pun tidak membatalkan kewenangan yang telanjur diberikan kepada kontrak rentan. 739

Apa yang perlu diperiksa pengguna lama?

Quit dan Revoke.cash mendesak pengguna mencabut izin Payment Processor V2 di Ethereum serta Payment Processor V3 di ApeChain, melalui Revoke.cash atau alat serupa. Magic Eden juga meminta mantan pengguna pasar EVM-nya memeriksa izin V2 di Polygon dan Base. Revoke.cash melaporkan serangan di sejumlah jaringan lain. Pemilik NFT yang masuk penyimpanan sementara juga diminta mencabut izin terdampak sebelum mengambil kembali asetnya. 22243538

Pelajarannya bukan sekadar berhenti memakai sebuah pasar: selama izin onchain belum dicabut, kontrak lama masih dapat memiliki akses ke aset yang pernah dipercayakan kepadanya. 739