چک پوینت، شرکت چندملیتی آمریکایی-اسرائیلی که محصولات سخت افزاری و نرم افزاری برای امنیت فناوری اطلاعات ارائه می کند، شناسایی یک نقص امنیتی در بازار محبوب NFT Rarible را که دارای بیش از دو میلیون کاربر فعال ماهانه است، آشکار کرده است.
نقص امنیتی در راریبل
در یک پست های وبلاگ، CPR اظهار داشت که در صورت سوء استفاده از این نقص، به یک عامل مخرب اجازه می دهد تا NFT ها و کیف پول های ارزهای دیجیتال کاربر را در یک تراکنش حذف کند.
Rarible یکی از معتبرترین بازارها در بخش NFTF است. بیش از 273 میلیون دلار حجم معاملات در سال 2021 گزارش شد. از این رو، CPR اشاره کرد که کاربران پلت فرم "کمتر مشکوک هستند و با ارسال تراکنش ها آشنا هستند." محققان این شرکت در 5 آوریل از این کشف به راریبل خبر دادند و به دنبال آن پلت فرم NFT این نقص را پذیرفت و بلافاصله آن را برطرف کرد.
CPR با تشریح روش حمله، خاطرنشان کرد:
قربانی پیوندی به NFT مخرب دریافت می کند یا بازار را مرور می کند و روی آن کلیک می کند. Malicious NFT کد جاوا اسکریپت را اجرا می کند و سعی می کند یک درخواست setApprovalForAll را برای قربانی ارسال کند. قربانی درخواست را ارسال می کند و دسترسی کامل به این رمز رمزنگاری NFT را به مهاجم اعطا می کند.
CPR برای اولین بار پس از اینکه خواننده محبوب تایوانی، Jay Chou قربانی یک حمله سایبری مشابه شد، مجذوب این نوع موارد شد. بر اساس گزارش ها، مهاجمان NFT Chou را دزدیدند و بعداً آن را به قیمت 500 هزار دلار فروختند.
جالب است که شرکت نیز شناسایی شده آسیب‌پذیری‌های امنیتی حیاتی در OpenSea در اکتبر گذشته، که به طور بالقوه به مهاجمان این امکان را می‌دهد که «حساب‌های کاربر را ربوده و کل کیف پول‌های ارزهای دیجیتال را با ساخت NFTهای مخرب بدزدند».
همچنین از کاربران می‌خواهد هنگام بررسی موارد درخواستی احتیاط کنند. اگر درخواست غیرعادی یا مشکوک به نظر می رسد، آنها باید آن را رد کرده و قبل از ارائه هر نوع مجوز، آن را بررسی کنند.
حملات افسارگسیخته به بازارهای NFT
این توسعه کمی بیش از یک ماه پس از بازار NFT مبتنی بر Arbitrum - TreasureDAO - انجام می شود. شاهد صدها NFT در یک سری از تراکنش ها به دلیل سوء استفاده به سرقت رفته است. موجودیت های مخرب از یک آسیب پذیری امنیتی در پروتکل سوء استفاده کردند که به آنها امکان می داد توکن های غیر قابل تعویض را به صورت رایگان برش دهند.
در ابتدای سال نیز از قسمت جلویی OpenSea مورد سوء استفاده قرار گرفت که دارندگان Bored Ape Yacht Club (BAYC) را هدف قرار داد. همانطور که قبلا گزارش شد، عامل اداره می شود برای سرقت حدود 750 هزار دلار ETH.
100 دلار رایگان بایننس (انحصاری): از این لینک استفاده کنید برای ثبت نام و دریافت 100 دلار هزینه رایگان و 10 درصد تخفیف در ماه اول Binance Futures (قوانین و مقررات).
پیشنهاد ویژه PrimeXBT: از این لینک استفاده کنید برای ثبت نام و وارد کردن کد POTATO50 تا سقف 7,000 دلار در سپرده های خود دریافت کنید.
منبع: https://cryptopotato.com/cyber-security-firm-discovers-critical-vulnerability-on-nft-marketplace-rarible/