Η εταιρεία ασφάλειας στον κυβερνοχώρο ανακαλύπτει κρίσιμη ευπάθεια στο NFT Marketplace Rarible

Η Check Point, η αμερικανο-ισραηλινή πολυεθνική που παρέχει προϊόντα υλικού και λογισμικού για την ασφάλεια πληροφορικής, αποκάλυψε ότι εντοπίζει ένα ελάττωμα ασφαλείας στη δημοφιλή αγορά NFT Rarible, η οποία διαθέτει πάνω από δύο εκατομμύρια ενεργούς χρήστες μηνιαίως.

Ελάττωμα ασφαλείας στο Rarible

Σε ανάρτηση, η CPR δήλωσε ότι το ελάττωμα, εάν εκμεταλλευόταν, θα επέτρεπε σε έναν κακόβουλο παράγοντα να αφαιρέσει τα NFT και τα πορτοφόλια κρυπτονομισμάτων ενός χρήστη σε μία μόνο συναλλαγή.

Η Rarible είναι μια από τις πιο εδραιωμένες αγορές στον τομέα NFTF. Ανέφερε περισσότερα από 273 εκατομμύρια δολάρια σε όγκο συναλλαγών το 2021. Ως εκ τούτου, η CPR ανέφερε ότι οι χρήστες της πλατφόρμας είναι «λιγότερο καχύποπτοι και εξοικειωμένοι με την υποβολή συναλλαγών». Οι ερευνητές της εταιρείας ειδοποίησαν τον Rarible για την ανακάλυψη στις 5 Απριλίου, μετά την οποία η πλατφόρμα NFT αναγνώρισε το ελάττωμα και το διόρθωσε αμέσως.

Περιγράφοντας τη μέθοδο επίθεσης, η CPR σημείωσε:

«Το θύμα λαμβάνει έναν σύνδεσμο προς το κακόβουλο NFT ή περιηγείται στην αγορά και κάνει κλικ σε αυτό. Το κακόβουλο NFT εκτελεί κώδικα JavaScript και επιχειρεί να στείλει ένα αίτημα setApprovalForAll στο θύμα. Το θύμα υποβάλλει το αίτημα και παραχωρεί πλήρη πρόσβαση σε αυτό το NFT's/Crypto Token στον εισβολέα."

Η καρδιοαναπνευστική αναζωογόνηση ξεκίνησε για πρώτη φορά με τέτοιου είδους υποθέσεις αφού ένας δημοφιλής τραγουδιστής της Ταϊβάν Jay Chou έπεσε θύμα παρόμοιας κυβερνοεπίθεσης. Σύμφωνα με πληροφορίες, οι επιτιθέμενοι έκλεψαν το NFT του Chou και αργότερα το πούλησαν για 500 χιλιάδες δολάρια.

Είναι ενδιαφέρον ότι η εταιρεία επίσης εντοπιστεί κρίσιμα τρωτά σημεία ασφαλείας στο OpenSea τον περασμένο Οκτώβριο, τα οποία θα μπορούσαν ενδεχομένως να επέτρεψαν στους εισβολείς να «παραβιάσουν λογαριασμούς χρηστών και να κλέψουν ολόκληρα πορτοφόλια κρυπτονομισμάτων δημιουργώντας κακόβουλα NFT».

Προέτρεψε επίσης τους χρήστες να είναι προσεκτικοί κατά την εξέταση του ζητήματος. Εάν το αίτημα φαίνεται μη φυσιολογικό ή ύποπτο, θα πρέπει να το απορρίψουν και να το επιθεωρήσουν περαιτέρω πριν παράσχουν οποιοδήποτε είδος εξουσιοδότησης.

Αχαλίνωτες επιθέσεις σε αγορές NFT

Η ανάπτυξη έρχεται λίγο περισσότερο από ένα μήνα μετά την αγορά NFT που βασίζεται στο Arbitrum – TreasureDAO – μάρτυρες εκατοντάδες NFT που κλάπηκαν σε ένα exploit σε μια σειρά συναλλαγών. Οι κακόβουλες οντότητες εκμεταλλεύτηκαν μια ευπάθεια ασφαλείας στο πρωτόκολλο που τους επέτρεπε να κόβουν μη ανταλλάξιμα διακριτικά δωρεάν.

Το front-end του OpenSea αξιοποιήθηκε επίσης στις αρχές του έτους, το οποίο στόχευε τους κατόχους Bored Ape Yacht Club (BAYC). Όπως αναφέρθηκε νωρίτερα, ο δράστης διαχειρίζεται να κλέψει ETH αξίας περίπου 750 $.