Falha crítica de segurança descoberta no mercado NFT Rarible

Pesquisadores identificaram uma falha de segurança no mercado NFT Rarible que poderia ter levado ao roubo de carteiras de criptomoedas.

Se explorada, a vulnerabilidade permitiria que um agente de ameaças roubasse NFTs e carteiras de criptomoedas de um usuário em uma única transação.

Pesquisadores da CheckPoint disseram que um ataque bem-sucedido teria vindo de uma NFT maliciosa no mercado da Rarible, onde as pessoas são menos suspeitas e familiarizadas com o envio de transações. Para contextualizar, a plataforma registrou um volume de negociação de US$ 273 milhões no ano passado e possui mais de dois milhões de usuários ativos mensais - tornando-se um dos maiores mercados de NFT do mundo.

As descobertas foram divulgadas imediatamente à Rarible em 5 de abril, que reconheceu a falha de segurança. A Check Point disse que acredita que a empresa terá implantado uma correção até o momento da publicação.

"A CPR investiu recursos significativos no exame da interseção de criptografia e segurança", comentou Oded Vanunu, chefe de Pesquisa de Vulnerabilidades de Produtos da Check Point Software. especialmente mercados NFT.

“Em outubro do ano passado, descobrimos falhas críticas de segurança no OpenSea, o maior mercado de NFT do mundo. Agora, identificamos vulnerabilidades semelhantes no Rarible.”

Se não forem corrigidas, essas falhas críticas de segurança encontradas no OpenSea podem ter permitido que hackers sequestrassem contas de usuários e roubassem carteiras inteiras de criptomoedas criando NFTs maliciosos.

Com esta última descoberta da Rarible, a Check Point disse que os invasores confiariam que as vítimas clicassem em um link para um NFT malicioso, seja navegando no mercado ou recebendo o link.

A NFT maliciosa executaria o código JavaScript e tentaria enviar uma solicitação setApprovalForAll para a vítima, que então enviaria a solicitação e concederia acesso total aos NFTs ou tokens de criptografia ao invasor.

Vanunu explicou que ainda existe uma “enorme lacuna” entre a infraestrutura Web2 e Web3, com qualquer pequena vulnerabilidade abrindo uma porta dos fundos para criminosos cibernéticos sequestrarem carteiras de criptomoedas nos bastidores.

“Ainda estamos em um estado em que os mercados que combinam protocolos Web3 carecem de uma boa prática de segurança”, disse ele. “As implicações após um hack de criptografia podem ser extremas. Vimos milhões de dólares roubados de usuários de marketplaces que combinam tecnologias blockchain.”

A Check Point disse que os usuários devem permanecer atentos e atentos sempre que receberem novas solicitações de assinatura, mesmo dentro do próprio mercado, e revisar cuidadosamente exatamente o que está sendo solicitado antes de receber uma solicitação.

Em caso de dúvidas, os usuários são aconselhados a rejeitar a solicitação e examiná-la mais detalhadamente antes de fornecer qualquer tipo de autorização. As aprovações de token podem ser revisadas e revogadas usando a ferramenta de aprovação de token Etherscan.

“Atualmente, espero ver um aumento contínuo nos roubos de criptomoedas. Os usuários devem prestar atenção”, aconselhou Vananu. “Atualmente, os usuários precisam gerenciar dois tipos de carteiras:uma para a maioria de suas criptomoedas e outra apenas para transações específicas.

“Se a carteira para transações específicas for comprometida, os usuários ainda poderão estar em uma posição em que não perderão tudo. A CPR continuará pesquisando as implicações de segurança da nova fronteira da tecnologia blockchain"