Une faille dans Payment Processor V2 de Limit Break a conduit le chercheur en sécurité 0xQuit à transférer 3 832 NFT depuis des portefeuilles approuvés lors de ventes à 0 ETH, selon une alerte publiée le 25 septembre par Revoke.cash. Le chercheur a décrit ces transferts comme une opération de sauvetage white hat et indiqué que les NFT étaient conservés dans un portefeuille de garde jusqu’à ce qu’ils puissent être restitués en toute sécurité. Revoke.cash n’a pas établi si des acteurs malveillants avaient emporté des NFT.
Pourquoi c’est important
Magic Eden a mis fin à la prise en charge de sa place de marché Ethereum le 9 mars 2026, mais cela n’a pas révoqué les autorisations onchain accordées par les utilisateurs au processeur en tant qu’opérateur. Ces autorisations peuvent rester actives tant que les propriétaires des portefeuilles ne les révoquent pas, même lorsque les annonces et les offres ne sont plus visibles ou utilisables. Déconnecter un portefeuille d’un site ou annuler une annonce ne supprime pas non plus une autorisation onchain.
Revoke.cash conseille aux anciens utilisateurs de révoquer l’autorisation accordée à Payment Processor V2 sur Ethereum. La plateforme recommande également aux utilisateurs ayant approuvé Payment Processor V3 sur ApeChain de révoquer cette autorisation distincte. L’alerte signale des autorisations exposées, mais ne permet pas d’établir que des pertes ont eu lieu sur les deux réseaux.
Impact sur le marché
Les 3 832 NFT signalés correspondent au nombre d’actifs transférés lors de l’opération de sauvetage, et non à un décompte confirmé des actifs volés. Revoke.cash indique que sa page consacrée à l’incident comprend un outil permettant aux utilisateurs de vérifier si une adresse est concernée et de révoquer l’autorisation correspondante.
La révocation est une mesure préventive : elle limite les risques à venir, mais ne permet pas de récupérer les actifs déjà emportés. Les détails techniques de la faille et le bilan définitif des pertes restent à établir. Les anciens utilisateurs doivent donc avant tout vérifier l’autorisation accordée.
Questions fréquemment posées
-
Pourquoi les anciens utilisateurs de Magic Eden restent-ils exposés à des risques concernant leurs NFT ?
La fermeture de la place de marché Ethereum n’a pas annulé les autorisations onchain d’opérateur accordées à son processeur de paiement. Elles restent actives jusqu’à ce que les propriétaires des portefeuilles les révoquent.
-
Qu’est-il arrivé aux 3 832 NFT ?
Le chercheur 0xQuit les a transférés depuis des portefeuilles approuvés lors de ventes à 0 ETH, qualifiant l’opération de sauvetage white hat. Les NFT étaient conservés dans un portefeuille de garde en attendant de pouvoir être restitués en toute sécurité.
-
Quelles autorisations Revoke.cash conseille-t-il de révoquer ?
La plateforme conseille de révoquer l’autorisation accordée à Payment Processor V2 sur Ethereum et, séparément, celle accordée à Payment Processor V3 pour les utilisateurs qui l’ont approuvé sur ApeChain.
-
Déconnecter un portefeuille ou annuler une annonce supprime-t-il une autorisation ?
Non. Selon Revoke.cash, déconnecter un portefeuille d’un site et annuler une annonce ne suppriment pas une autorisation onchain d’opérateur.
-
La révocation d’une autorisation permet-elle de récupérer des NFT déjà emportés ?
Non. La révocation est préventive et réduit les risques à venir, mais ne permet pas de récupérer les actifs déjà pris. Revoke.cash n’a pas établi si des acteurs malveillants avaient emporté des NFT.
TheBlock
CoinTelegraph
WuBlockchain