В субботу у пользователей торговой площадки невзаимозаменяемых токенов OpenSea злоумышленники украли сотни NFT. Согласно данным службы безопасности блокчейна PeckShield, в ходе хакерской атаки было похищено 254 токена, включая активы виртуальной площадки Decentraland и широко известные токены Bored Ape Yacht Club.
Источник изображения: Alex Castro / The Verge
Основная часть атак произошла между 17:00 и 20:00 по восточноевропейскому времени (воскресенье 1:00–4:00 мск), вызвав панику у пользователей. В общей сложности были атакованы аккаунты 32 человек. Молли Уайт (Molly White), которая ведёт блог Web3 Is Going Just Great, оценила стоимость украденных активов более чем в $1,7 млн. Предполагается, что хакеры использовали уязвимости протокола Wyvern Protocol, стандарта с открытым исходным кодом, лежащего в основе большинства смарт-контрактов NFT, в том числе созданных в OpenSea.
Как сообщает один из участников Твиттера, атака состояла из двух частей: сначала жертвы подписали частичный контракт с общим разрешением и незаполненными местами. Имея подпись, злоумышленники завершили контракт с ссылкой на собственный контракт, которым передаётся право собственности на NFT без оплаты. По сути, атакуемые подписали пустой чек — и как только он был подписан, злоумышленники заполнили оставшуюся часть чека, чтобы забрать активы.
«Я проверял каждую транзакцию, — сообщил пользователь под ником Neso. — Все они имеют действительные подписи людей, которые потеряли NFT, поэтому любой, кто утверждает, что он не подвергся фишингу, а потерял NFT, к сожалению, ошибается». Атака на OpenSea произошла в тот момент, когда площадка выполняла обновление своей системы контрактов, но OpenSea отрицает связь этих событий.
Многие детали атаки остаются неясными — в частности, метод, который злоумышленники использовали, чтобы заставить жертв подписать полупустой контракт. Стремительность атаки — сотни транзакций за считанные часы — предполагает некий общий вектор, но пока не обнаружено ни одной связи.
Источник: 3DNews
