- Лазівка в OpenSea, якщо її успішно використати, могла дозволити зловмиснику отримати ідентифікаційні дані користувачів.
- OpenSea швидко вирішила проблему після того, як уразливість вийшла на перший план.
Компанія кібербезпеки Imperva виявив серйозну вразливість на популярному ринку NFT OpenSea, яка в разі успішного використання може дозволити зловмиснику отримати ідентифікаційні дані користувачів платформи.
За словами Imperva, основною причиною вразливості стала неправильна конфігурація бібліотеки iFrame-resizer, яка використовується OpenSea.
Надаючи більш детальну інформацію про механізм використання проблеми, Imperva заявила, що зловмисник надішле посилання електронною поштою або SMS.
Якщо жертва клацне посилання, буде отримана така важлива інформація, як IP-адреса цілі, агент користувача, деталі пристрою та версії програмного забезпечення.
Тоді вразливість міжсайтового пошуку буде використана для отримання імен цільових NFT, а потім зловмисник пов’яже витік адреси NFT/публічного гаманця з електронною поштою чи номером телефону, на який спочатку було надіслано посилання.
Однак у звіті Imperva згадується, що OpenSea вирішила проблему після того, як про неї було повідомлено, і ринок більше не піддається ризику таких атак
Заплямоване минуле
У минулому OpenSea стикався з серйозними занепокоєннями щодо безпеки платформи. У лютому 2022 року він опинився в центрі одного з найбільших хакерів в екосистемі NFT.
Під час експлойту з гаманців користувачів було вкрадено NFT на 1.7 мільйона доларів. Порушення визнав генеральний директор OpenSea Девін Фінзер.
Ще одне оновлення: за останні кілька годин ми спілкувалися з десятками людей, команд і проектів у просторі NFT. https://t.co/fB5r3cMA1r
- Девін Фінцер (dfinzer.eth) (@dfinzer) 20 Лютого, 2022
Менш ніж за три місяці ринок знову зазнав удару, коли його Discord канал був скомпрометований. Хакери опублікували фейкову новину про співпрацю на YouTube із посиланням на фішинговий сайт.
Вплив хакерів змусив OpenSea вжити конкретних заходів для захисту своїх користувачів. Минулого місяця він представив a пільговий період три години, протягом яких продавці не зможуть приймати пропозиції після передбачуваного продажу.
Торгова активність падає
Тим часом OpenSea спостерігав значне падіння торгової активності на платформі з середини лютого. Згідно з даними Token Terminal, щотижнева торгівля NFT впала на 40% до моменту публікації.
Як наслідок цього, роялті, які виплачуються творцям, також знизилися. Щотижневі збори з боку пропозиції впали на 40% на момент написання статті, що могло відмовити зацікавлених авторів від розміщення своїх робіт на ринку.
Джерело: Token Terminal
OpenSea сильно постраждав через Розмиття [BLUR] шторм, який охопив екосистему ринку NFT. Згідно з даними Dune Analytics, частка OpenSea в загальному обсязі торгів на всіх ринках скоротилася до 26%.
Однак йому все ж вдалося втримати значну частину бази користувачів і загальну кількість продажів з домінуванням у 62.8% і 51% відповідно.
Джерело: Dune Analytics
Джерело: https://ambcrypto.com/opensea-fixes-a-major-vulnerability-that-could-have-leaked-your-identity/