Des milliers de NFT qui changent de portefeuille pour 0 ETH, en pleine matinée, sans que leurs propriétaires n’aient rien signé. La faille Magic Eden NFT a semé la panique ce 25 septembre sur Ethereum. Pourtant, derrière les premiers transferts suspects, se cachait surtout une opération de sauvetage. Un « chapeau blanc » a mis à l’abri 23 155 NFT, d’une valeur de plus de 5,7 millions de dollars, avant que des pirates ne les vident. Tout n’a cependant pas été sauvé.
Ce qui s’est passé ce jeudi matin
Tout commence vers 6h30 UTC. Le trader NFT Cirrus repère un portefeuille qui aspire des NFT depuis des centaines d’adresses différentes. Chaque transfert apparaît comme une vente à 0 ETH, passée par le contrat de Magic Eden. Sur X, son message fait le tour de la communauté : « révoquez toutes vos autorisations NFT si vous avez des objets de valeur dans votre portefeuille ».
Quelques minutes plus tard, un utilisateur nommé 0xQuit prend la parole. Selon Decrypt, il s’agit du vice-président blockchain de Yuga Labs, la société derrière Bored Ape Yacht Club. Il affirme que l’opération est un sauvetage et que les NFT seront rendus une fois hors de danger.
Les chiffres de la faille Magic Eden NFT
- 23 155 NFT mis à l’abri par l’opération de sauvetage, selon The Block et Decrypt
- Plus de 5,7 millions de dollars de valeur exposée
- 3 832 NFT repérés dans la première vague de transferts, provenant de centaines de portefeuilles
- 660 WETH non récupérés, via une variante inversée de l’attaque
- Déjà volés par des pirates : 10 Meebits, 50 Otherdeeds, 10 World of Women et 235 Desperate ApeWives
Parmi les collections concernées figurent notamment Bored Ape Yacht Club, Mutant Ape, Azuki, Doodles et CloneX, d’après NFT Playgrounds. Des pièces qui avaient justement retrouvé de la valeur au printemps, avec des BAYC qui doublaient de prix.
Une autorisation oubliée depuis 2024
Le contrat Payment Processor V2 en cause
La faille ne touche pas Magic Eden en direct. Elle vise Payment Processor V2, un contrat de paiement développé par Limit Break. Entre février et octobre 2024, la plateforme l’utilisait pour ses annonces NFT sur Ethereum, Polygon et Base. Pour mettre un NFT en vente, les utilisateurs accordaient alors une autorisation « approved for all » à ce contrat.
Une permission restée active après la fermeture
Magic Eden a cessé d’utiliser ce contrat en octobre 2024, puis a fermé sa place de marché EVM début 2026. Cependant, les autorisations signées à l’époque, elles, n’ont jamais expiré. Un attaquant pouvait donc déplacer ces NFT sans nouvelle signature de leur propriétaire. Autrement dit, un simple clic de 2024 laissait la porte ouverte en 2026.
Ce que dit Magic Eden
La plateforme insiste sur un point : « aucune annonce Magic Eden active n’a été touchée par cette faille ». Seules les anciennes annonces EVM restaient exposées. Magic Eden demande aux utilisateurs concernés de révoquer leurs autorisations Payment Processor V2 sur les trois réseaux. En revanche, elle n’a pas encore détaillé comment les NFT volés ou les 660 WETH pourraient être récupérés, selon The Block.
Faille Magic Eden NFT : une semaine noire pour la sécurité crypto
L’incident arrive au pire moment. Mercredi, Bitget perdait 352 millions de dollars dans un piratage de ses portefeuilles chauds. Jeudi, le Cosmos Hub devait sécuriser 1,23 million d’ATOM après une attaque contre Neutron. Ensuite, Magic Eden a ajouté son nom à la liste quelques heures plus tard. Cette fois, le sauvetage a limité la casse, mais le mécanisme reste inquiétant : la menace ne venait pas d’une plateforme active, mais d’un contrat que tout le monde avait oublié.
Ce que les détenteurs de NFT en France, en Belgique et en Suisse doivent faire
Pour un lecteur en France, en Belgique ou en Suisse, le recours reste limité. En effet, le règlement européen MiCA exclut en grande partie les NFT uniques de son champ d’application. Aucun prestataire agréé n’est donc tenu d’indemniser les victimes. Par ailleurs, un portefeuille matériel ne protège pas contre une autorisation déjà signée. Si vous avez listé un NFT sur Magic Eden entre février et octobre 2024, voici les réflexes à adopter :
- Connectez votre portefeuille à Revoke.cash et cherchez le contrat Payment Processor V2
- Révoquez toute autorisation « approved for all » qui lui est accordée
- Répétez l’opération sur Ethereum, Polygon et Base
- Vérifiez aussi vos autorisations WETH, visées par la variante inversée de l’attaque
Attention toutefois : révoquer une autorisation ne récupère pas un NFT déjà transféré. Ce ménage régulier fait partie des règles de sécurité essentielles que nous détaillions en début d’année. En somme, une signature oubliée peut coûter plus cher qu’une plateforme piratée.
⚠️ Cet article est publié à titre informatif et éducatif uniquement. Il ne constitue pas un conseil financier. Aucune recommandation d’achat ou de vente n’est exprimée. Les marchés crypto sont volatils. Les performances passées ne préjugent pas des résultats futurs. Effectuez toujours vos propres recherches. Ne misez que ce que vous pouvez vous permettre de perdre.
