Zraniteľnosť OpenSea
24. januára 2022 niektorí používatelia OpenSea zažili zľavnené predaje NFT. Všetko kvôli hackerom, ktorí využili chybu v procese zaraďovania platformy. Vďaka zraniteľnosti boli schopní nakúpiť nevymeniteľné tokeny s takmer 98% zľavou a následne ich predať za oveľa vyššiu cenu.
Podľa správy od blockchainovej analytickej firmy Elliptic bolo použitie OpenSea výsledkom chyby v spôsobe, akým platforma spracováva aukcie NFT.
OpenSea je postavená na blockchaine Ethereum, ktorý je známy svojimi závratnými poplatkami za gas. To je dôvod, prečo, aby sa znížili transakčné náklady, trh NFT spracováva väčšinu svojich off-chain funkcií, kým tieto transakcie nie je potrebné poslať do blockchainu na vyrovnanie.
Na uvedenie aktív musia predajcovia NFT podpísať údaje mimo reťazca, ktoré dokazujú sumu, za ktorú chcú predať svoje tokeny. Problém však nastáva, keď sa rozhodnú ponuku zrušiť.
Aby neplatili poplatky za gas, jednoducho prevedú NFT do inej peňaženky. Tým je pôvodná cena neplatná. NFT už nie sú na OpenSea.
Veci sa komplikujú, keď chcú previesť aktíva späť do svojich portfólií OpenSea, napríklad keď ich hodnota rastie. Počiatočný zoznam nie je odstránený z blockchainu. To znamená, že každý si môže kúpiť NFT za počiatočnú cenu, a to je presne to, čo páchatelia urobili.
Elliptic odhalil, že identifikoval najmenej piatich útočníkov zapojených do tohto hacku. Jedným z nich je používateľ s prezývkou jpegdegenlove. Podľa spoločnosti dokázal zarobiť 340 eth v hodnote viac ako 800 000 dolárov pri súčasných cenách.
OpenSea opravuje chyby
OpenSea spustila na platforme nový systém správy ponúk. Používateľom umožňuje efektívne prezerať aktívne aj neaktívne ponuky a možnosť zrušiť ich jediným kliknutím.
Trh oslovil aj dotknutých používateľov a vrátil im peniaze. V rozhovore pre Bloomberg jedna z obetí útoku uviedla, že jeho Mutant Ape NFT hackeri predali za 4,7 eth (asi 11 300 dolárov). Keď si všimol stratu, okamžite poslal e-mail do OpenSea. O niekoľko dní neskôr dostal náhradu vo výške 13,8 ETH (35 000 dolárov).
zdroj: blockchain.news, pixabay.com