OpenSea Bug féiert zu massiven NFT Verloscht

Hacker hunn en existente Feeler an der OpenSea Plattform ausgenotzt fir verschidde NFTs am Wäert vun iwwer eng Millioun Dollar mat drasteschen sechs-Figur Rabatter ze kafen. 

Elliptesch Rapporten NFT Verloscht Op OpenSea

NFTs iwwer verschidde Portemonnaie goufen am Hack gezielt, wou d'Ugräifer fäeg waren se zu virdrun opgezielte Präisser ze kafen ouni d'Besëtzer ze tippen. OpenSea ass nach eng Bemierkung oder eng Ukënnegung iwwer d'Attack ze maachen, déi fir d'éischt vun der Blockchain Analytikfirma Elliptic gemierkt a gemellt gouf. 

No Chef Wëssenschaftler a Matgrënner bei Elliptic, Tom Robinson

"Den Exploit schéngt aus der Tatsaach ze kommen datt et virdru méiglech war en NFT zu engem neie Präis nei opzemaachen, ouni déi viregt Oplëschtung ze annuléieren. Déi al Lëschte ginn elo benotzt fir NFTs zu Präisser ze kafen, déi an der Vergaangenheet spezifizéiert sinn - dacks wäit ënner aktuellen Maartpräisser.

Bug exploitéiert fir NFTs z'erreechen

Ee vun den NFTs geklaut duerch Ausbeutung vun dësem Käfer war Bored Ape #9991 aus der populärer Bored Ape Yacht Club Sammlung. Den NFT gouf fir 0.77 ETH kaaft (ongeféier $ 1747), en drastesch niddrege Präis fir e Bored Ape NFT, normalerweis fir Honnerte vun Dausende vun Dollar verkaaft. Wéi och ëmmer, de Besëtzer zum Zäitpunkt vum Verkaf war net bewosst datt NFT fir sou e Lowball Betrag opgezielt gouf. Kuerz duerno gouf déiselwecht NFT fir 84.2 ETH (ongeféier $ 189,040) verkaaft, wat e bedeitende Gewënn vun iwwer $ 187,000 ausmécht. 

De CEO Robinson huet insgesamt aacht NFTs drop higewisen, déi op dës Manéier geklaut goufen. D'ursprénglech Portemonnaie waren all anescht, während déi total Attacker Portemonnaien nëmmen dräi waren. En aneren Ugräifer Portemonnaie konnt siwe NFTs fir $ 133,000 kréien, während en Drëttel en anert Bored Ape NFT fir e mëllen 23 ETH kaaft huet. 

Wéi ass dëse Bug erstallt? 

An engem Twitter-Thread huet de Softwareentwéckler Rotem Yakir zesummegefaasst wéi de Käfer erstallt gouf aus engem Mismatch tëscht der Informatioun verfügbar an NFT Smart Kontrakter an der Informatioun presentéiert vum OpenSea User Interface. Schlussendlech léisst de Feeler Ugräifer Zougang zu alen Kontraktpräisser, déi nach ëmmer op der Blockchain existéieren, awer vun der Vue op der OpenSea Applikatioun blockéiert sinn. Potenziell Keefer op OpenSea maachen eng Offer op de sichtbare "Lëschtpräis" wéi vum NFT Besëtzer festgeluecht. Wann e Keefer de Listepräis akzeptéiert, gëtt d'Besëtzer vum NFT automatesch un hinnen iwwerginn. 

De Feeler gëtt erstallt wann d'Besëtzer hir NFTs zu engem méi héije Präis wëllen nei oplëschten, awer wëllen d'Gasfraise net bezuelen fir déi éischt Oplëschtung ze annuléieren. Also, amplaz, transferéieren se den NFT op eng aner Portemonnaie an dann zréck an d'Original Portemonnaie. Maachen dëst läscht d'Lëscht vum OpenSea Frontend. Wéi och ëmmer, déi ursprénglech Oplëschtung bleift aktiv op der Blockchain a kann duerch OpenSea API fonnt ginn. 

Et ass interessant ze notéieren datt dëse Feeler am Dezember 2021 entdeckt gouf. Ausserdeem, och am Januar 2022, huet en Twitter-Thread e Liicht op den Zwangsverkaaf vun NFTs mat dëser Methode geschéngt. Wéi och ëmmer, keng präventiv Handlung gouf vun OpenSea zu där Zäit geholl.

Verzichterklärung: Dësen Artikel gëtt nëmme fir Informatiounszwecker zur Verfügung gestallt. Et gëtt net ugebueden oder geduecht als legal, Steier, Investitioun, finanziell oder aner Berodung ze benotzen.