Vulnerabilidade do OpenSea permite roubo de criptomoedas com NFTs maliciosas - Gustavo Kennedy Renkel

Pesquisadores investigaram o problema no OpenSea após um aumento de reclamações sobre o recebimento e abertura de NFTs gratuitos para roubar fundos de usuários.

Os pesquisadores de segurança de TI da Check Point identificaram vulnerabilidades críticas de segurança no OpenSea (OpenSea.io – o altamente popular e maior mercado de NFT do mundo), o que permitiria que invasores remotos drenam as carteiras cripto de usuários desavisados roubando seus fundos.

O NFT (token não fungível) tornou-se um negócio lucrativo, permitindo que as pessoas ganhem milhões de dólares. Somente na OpenSea, houve transações no valor de US$ 3,4 bilhões em agosto de 2021. Ao mesmo tempo, os mercados NFT tornaram-se um alvo lucrativo para os cibercriminosos.

De acordo com os pesquisadores da Check Point, eles investigaram o problema no OpenSea após um aumento nas reclamações sobre o recebimento e abertura de NFTs gratuitos para roubar fundos de usuários. As vulnerabilidades, se exploradas, poderiam ter permitido que os invasores sequestrassem a conta do usuário e roubassem criptomoedas criando NFTs maliciosos.

A vulnerabilidade do OpenSea permitiu roubo de criptomoedas com NFTs maliciosos

No entanto, um ataque bem-sucedido exigiria a interação do usuário, por exemplo, a visualização de NFTs mal-intencionados desencadearia uma mensagem pop-up do domínio oficial de armazenamento do OpenSea e solicitaria uma conexão com a carteira de criptomoedas do usuário.

Aceitar o pedido de conexão daria aos agressores acesso total à carteira da vítima. Mas, realizar transações exigiria outra mensagem pop-up do domínio de armazenamento do OpenSea. Eventualmente, a vítima perderá seus fundos para os agressores.

Assista como os pesquisadores da Check Point demonstram o ataque:

Em seu relatório,a RCP explicou que,

Em nosso cenário de ataque, o usuário é solicitado a assinar com sua carteira depois de clicar em uma imagem recebida de terceiros, o que é um comportamento inesperado no OpenSea, uma vez que não se correlaciona com os serviços prestados pela plataforma OpenSea, como comprar um item, fazer uma oferta ou favorecer um item.

No entanto, uma vez que o domínio da operação de transação é do próprio OpenSea, e como esta é uma ação que a vítima geralmente recebe em outras operações NFT declaradas acima, isso pode levá-lo a aprovar a conexão.

A boa notícia é que Chick Point informou a OpenSea sobre o problema e o mercado levou apenas uma hora para corrigi-lo.

A segurança é fundamental para o OpenSea. Agradecemos a equipe de RCP trazendo essa vulnerabilidade à nossa atenção e colaborando conosco enquanto investigamos o assunto e implementamos uma correção dentro de uma hora após ser trazida à nossa atenção.

Esses ataques teriam se apoiado em usuários aprovando atividades maliciosas através de um provedor de carteira de terceiros conectando sua carteira e fornecendo uma assinatura para a transação maliciosa.”

Se você está lidando com NFTs cuidado com esses ataques e não clique em pop-ups sem verificar sua autenticidade. Você deve analisar quem está enviando solicitações e quais permissões estão sendo solicitadas. Para manter sua conta, carteira e fundos seguros, basta cancelar a solicitação que você acha suspeito.

Fonte: HackerRead