Cyberbeveiligingsbedrijf ontdekt kritieke kwetsbaarheid op NFT Marketplace

Check Point, de Amerikaans-Israëlische multinational die hardware- en softwareproducten voor IT-beveiliging levert, heeft onthuld dat hij een beveiligingsfout heeft geïdentificeerd in de populaire NFT-marktplaats Rarible, die maandelijks meer dan twee miljoen actieve gebruikers heeft.

Beveiligingsfout op Rible

In een blogpostCPR verklaarde dat de fout, indien uitgebuit, een kwaadwillende actor in staat zou hebben gesteld de NFT's en cryptocurrency-portefeuilles van een gebruiker in één enkele transactie over te hevelen.

Rarible is een van de meest gevestigde marktplaatsen in de NFTF-sector. Het rapporteerde een handelsvolume van meer dan $273 miljoen in 2021. Daarom vermeldde CPR dat platformgebruikers “minder achterdochtig en vertrouwd zijn met het indienen van transacties.” Onderzoekers van het bedrijf brachten Rarible op 5 april op de hoogte van de ontdekking, waarna het NFT-platform de fout erkende en onmiddellijk repareerde.

CPR schetste de aanvalsmethode en merkte op:

“Slachtoffer ontvangt een link naar de kwaadaardige NFT of bladert door de marktplaats en klikt erop. De kwaadaardige NFT voert JavaScript-code uit en probeert een setApprovalForAll-verzoek naar het slachtoffer te sturen. Het slachtoffer dient het verzoek in en verleent de aanvaller volledige toegang tot deze NFT's/Cryptotoken.”

CPR raakte voor het eerst geïntrigeerd door dit soort gevallen nadat de populaire Taiwanese zanger Jay Chou het slachtoffer werd van een soortgelijke cyberaanval. Naar verluidt hebben aanvallers Chou's NFT gestolen en deze later voor $ 500 verkocht.

Interessant genoeg ook het bedrijf gedetecteerd Kritieke beveiligingsproblemen op OpenSea afgelopen oktober, waardoor aanvallers mogelijk “gebruikersaccounts konden kapen en hele cryptocurrency-portefeuilles konden stelen door kwaadaardige NFT’s te maken.”

Het dringt er ook bij gebruikers op aan voorzichtig te zijn bij het beoordelen van wat er wordt gevraagd. Als het verzoek abnormaal of verdacht lijkt, moeten ze het afwijzen en verder inspecteren voordat ze enige vorm van toestemming geven.

Ongebreidelde aanvallen op NFT-marktplaatsen

De ontwikkeling komt iets meer dan een maand nadat de op Arbitrum gebaseerde NFT-marktplaats – TreasureDAO – getuige honderden NFT's worden gestolen tijdens een exploit in een reeks transacties. De kwaadwillende entiteiten maakten misbruik van een beveiligingsprobleem in het protocol waardoor ze gratis niet-fungibele tokens konden maken.

Begin dit jaar werd ook de front-end van OpenSea geëxploiteerd, gericht op houders van de Bored Ape Yacht Club (BAYC). Zoals eerder gemeld, de dader beheerd om voor ongeveer $ 750 aan ETH te stelen.