A Check Point kiberbiztonsági szoftvercég kutatói sebezhetőséget azonosítottak a Rarible NFT piacon. Nagyjából kétmillió aktív havi felhasználója közül több százezer veszítette volna el NFT-jét, ha a hacker végrehajtotta volna.
A Check Point felelősségteljes közzététele
"A sikeres támadás egy rosszindulatú NFT-től származott volna a Rarible piacterén, ahol a felhasználók kevésbé gyanakvóak és jártasak a tranzakciók benyújtásában" - jegyezte meg a Check Point Research.
Az NFT EIP-721 szabvány részét képező „setApprovalForAll” funkcióval az a probléma, hogy egy másik félnek ad teljes ellenőrzést az NFT-eszközök felett. Az adathalász támadásokat úgy lehet megtervezni, hogy ellopják áldozataik vagyonát. Meg tudják győzni őket, hogy írjanak alá egy tranzakciós kérelmet, amely úgy tűnik, hogy legitim forrásból származik.
A Rarible biztonsági hibája miatt a felhasználók akár 100 MB-os médiafájlokat is feltölthetnek anélkül, hogy ellenőriznék bennük a potenciálisan rosszindulatú tartalmat. A Check Point kutatói kihasználták ezt a problémát egy rosszindulatú JavaScript-fájlt tartalmazó SVG-kép létrehozásával.
A rendszer végrehajt egy kódot, ha a cél az NFT képre vagy az IPFS hivatkozásra kattint. Ezért indítson tranzakciókérést a böngészőjében. Ha a célszemély nem érti a tranzakció részleteit, jóváhagyhatja a kérést. Lehetővé teszi a támadó számára, hogy hozzáférjen a teljes gyűjteményéhez. A támadó ezután a „transferFrom” művelettel ellopja az NFT-ket, és áthelyezi a pénztárcájába. Vegye figyelembe, hogy ez a művelet nem visszafordítható.
A CPR platform április 5-én értesítette a Rarible-t a problémáról. A cég azonnal elismerte és kijavította a problémát.
Az NFT-lopás fenyegetés
Oded Vanunu, a Check Point Software biztonsági kutatója elmondta, hogy a céget azután kezdte érdekelni ez a támadás, hogy Jay Chou tajvani énekes áldozata lett. A Chou's BoredApe #3738 NFT-t egy aljas tranzakció során ellopták február elején.
„Amikor láttuk, hogy ezt az NFT-t ellopták, ez arra ösztönzött bennünket, hogy tovább nyomozzuk” – mondta Vanunu. Azt is hozzátette, hogy egy ilyen sérülékenység sok más platformon is lehetséges. A sérülékenységet a Rarible gyorsan kijavította, és megszüntette az SVG-fájlok feltöltésének lehetőségét. Megszüntette a rosszindulatú NFT támadási lehetőséget, tette hozzá Vanunu.
Vanunu szerint a platform bármely felhasználója biztonsági hibát válthatott volna ki. Azt azonban nem becsülte meg, mennyi veszteség lehetett. Az Arthur Cheong pénztárcáját ért hasonló támadás több mint 1.86 millió dolláros veszteséget eredményezett. Ezért a felhasználóknak mindig szorgalmasnak kell lenniük, amikor NFT-platformokon jóváhagyják a kéréseket. Lehetőség szerint az Etherscan kéréskövetőjét is használniuk kell.
A vagyon védelmének szükségessége
Fontos megjegyezni, hogy ez a probléma nem egyedülálló a Rarible-nél, mivel a Check Point tavaly hasonló hibát fedezett fel az OpenSea-n. Az NFT tranzakciós szabvánnyal az a probléma, hogy megnehezíti az eszköztulajdonosok számára azok valódiságának megállapítását.
Ezért alaposan meg kell vizsgálnia mindent, amit aláírásra kérnek, hogy megbizonyosodjon arról, hogy miről van szó. Ne írjon alá semmit, ha nem biztos abban, hogy miről van szó. Javasoljuk, hogy a felhasználók tekintsék meg korábbi jogkivonat-jóváhagyásaikat, és vonják vissza azokat, amelyek csalárdnak tűnnek a token-jóváhagyás-ellenőrző használatával.
E támadások természetéből adódóan hosszabb ideig tarthatnak a végrehajtásuk, és befolyásolhatják az eszközök átadását. Ahogy a blokklánc technológia folyamatosan fejlődik, a befektetőknek óvatosabbnak kell lenniük eszközeik védelmében.
A nyílt tenger bajban van
Két felperes szerint az OpenSea nem sikerült orvosolnia azokat a biztonsági réseket, amelyek lehetővé tették a hackerek számára, hogy ellopják a nem helyettesíthető tokeneket (NFT-ket). A problémák megoldásának elmulasztása több százezer dolláros kárt okozott.
Egy másik felhasználó panaszkodott, hogy az OpenSea a felhasználóira hárítja az NFT-ik védelmét. Ez akkor történik, amikor az NFT színterét továbbra is csalások és csalások sújtják.
A két felperes által az OpenSea ellen indított perek precedenst teremthetnek az NFT-vel kapcsolatos követelések kezelését illetően. Központosított hatóság hiányában a bírósági rendszer hasznos lesz ezen ügyek kezelésében.
Forrás: https://crypto.news/rarible-nft-marketplace-vulnerability-check-point/