В сентябре исследователь безопасности Quit провёл спасательную операцию — вывел 23 155 NFT из множества кошельков, которые оказались уязвимы перед ошибкой в контракте Payment Processor V2 компании LimitBreak. Операция позволила спасти активы стоимостью примерно $6 млн, но оставила без защиты 660 WETH.
Как началась спасательная операция
Первый сигнал тревоги поступил, когда трейдер NFT Cirrus заметил, что из более чем ста кошельков вывели 3832 NFT. Quit, который занимает должность вице-президента блокчейна в Yuga Labs, позже подтвердил: это было спасением. «Всё в кошельке 0x71cF3f5724bD2B72Ef6464992aCd26216DE7fe33 в безопасности и будет возвращено, как только исчезнет угроза», — написал он.
Проблема скрывалась в Payment Processor V2. Утром в сентябре неизвестный использовал уязвимость и вывел 10 Meebits, 50 Otherdeeds, 10 World of Women и 235 Despertae Apewives. Quit обнаружил, что та же ошибка угрожала множеству других NFT. Усугубляло ситуацию то, что контракт V2 нельзя было приостановить — LimitBreak смог остановить только Payment Processor V3, хотя версия на сети ApeChain некоторое время тоже не поддавалась паузе.
«Единственный способ защитить затронутые активы — провести белую хакерскую операцию», — объяснил Quit.
Частичная победа
Спасение охватило 23 155 NFT. Владельцы смогут требовать возврата активов после отзыва опасных разрешений (approvals). Однако полной победы не получилось: Quit позже выяснил, что уязвимость работает и в обратном направлении — можно было украсть WETH. Это поставило под угрозу 660 WETH (примерно $1,7 млн).
«Работал всю ночь, чтобы спасти примерно $6 млн в NFT, а помыслы одолевает $1,7 млн в WETH, которые я не успел защитить», — написал исследователь на X.