NFTs αξίας $1,7 εκατομμυρίων κλάπηκαν έπειτα από επίθεση phishing σε χρήστες του OpenSea

Το Σάββατο, εισβολείς έκλεψαν εκατοντάδες NFT από χρήστες του OpenSea, σπέρνοντας τον πανικό στην πλατφόρμα. Η υπηρεσία ασφάλειας blockchain PeckShield, εκτιμά ότι κατά τη διάρκεια της επίθεσης κλάπηκαν 254 tokens, συμπεριλαμβανομένων tokens από τα Decentraland και Bored Ape Yacht Club.

Το μεγαλύτερο μέρος των επιθέσεων πραγματοποιήθηκε στο διάστημα μεταξύ 17:00 και 20:00, με στόχο 32 χρήστες συνολικά. Η συνολική αξία των κλεμμένων tokens φέρεται να αγγίζει τα $1,7 εκατομμύρια.

Η επίθεση φαίνεται να εκμεταλλεύτηκε μια ευελιξία του πρωτοκόλλου Wyvern, του open source προτύπου στο οποίο βασίζονται τα περισσότερα έξυπνα συμβόλαια NFT, συμπεριλαμβανομένων εκείνων που γίνονται και στο OpenSea. Αρχικά, οι χρήστες-στόχοι υπέγραψαν ένα «μερικό» συμβόλαιο, με μια γενική εξουσιοδότηση, αφήνοντας αρκετά άλλα πεδία κενά. Με την υπογραφή στη θέση της, οι εισβολείς ολοκλήρωσαν τη σύμβαση συμπληρώνοντας τα «κενά» στο δικό τους συμβόλαιο και μεταβίβασαν την ιδιοκτησία των NFTs χωρίς να πληρώσουν. Ουσιαστικά, οι χρήστες που έχασαν αυτά τα tokens, υπέγραψαν μια λευκή επιταγή, με τους επιτιθέμενους να συμπληρώνουν το υπόλοιπο της επιταγής.

Ο χρήστης με το όνομα Neso αναφέρει με ανάρτησή του στο Twitter πως όλες οι συναλλαγές έχουν έγκυρες υπογραφές, επομένως οποιοσδήποτε ισχυρίζεται ότι δεν πρόκειται για επίθεση phishing αλλά ότι απλώς «χάθηκαν» τα NFTs, κάνει μεγάλο λάθος.

Με την αξία της OpenSea να αγγίζει τα $13 δισεκατομμύρια, η πλατφόρμα έχει εξελιχτεί σε μία από τις εταιρίες με την υψηλότερη αποτίμηση στην αγορά των NFTs, παρέχοντας ένα απλό περιβάλλον χρήσης για αγοραπωλησίες. Αυτή η επιτυχία, όμως, συνοδεύτηκε από σημαντικά ζητήματα ασφάλειας, καθώς η εταιρεία κλήθηκε να αντιμετωπίσει επιθέσεις που αξιοποιούσαν παλιά συμβόλαια, επιχειρώντας να υφαρπάξουν τα πολύτιμα περιουσιακά στοιχεία των χρηστών.