罕见的 NFT 市场漏洞被 Check Point 曝光 – crypto.news

网络安全软件公司 Check Point 的研究人员发现了 Rarible NFT 市场中的一个漏洞。 如果黑客执行了它，其每月大约 XNUMX 万活跃用户中的数十万将丢失他们的 NFT。

Check Point 的负责任披露

Check Point Research 指出：“成功的攻击可能来自 Rarible 市场本身的恶意 NFT，用户对提交交易的怀疑和熟悉程度较低。”

作为 NFT EIP-721 标准的一部分的“setApprovalForAll”函数的问题在于，它将对 NFT 资产的完全控制权交给了另一方。 网络钓鱼攻击的目的是窃取受害者的资产。 他们可以说服他们签署看似来自合法来源的交易请求。

由于 Rarible 中的安全问题，用户可以上传高达 100MB 的媒体文件，而无需检查它们是否存在潜在的恶意内容。 Check Point 的研究人员通过创建包含恶意 JavaScript 有效负载的 SVG 图像来利用此问题。

如果目标点击 NFT 图像或 IPFS 链接，系统将执行代码。 因此，在他们的浏览器中触发交易请求。 如果目标不了解交易的细节，他们可能会批准该请求。 它允许攻击者访问他们的整个集合。 然后，攻击者将使用“transferFrom”操作窃取 NFT 并将其转移到他们的钱包中。 请注意，此操作是不可逆的。

5 月 XNUMX 日，CPR 平台将该问题通知了 Rarible。该公司立即承认并修复了该问题。

NFT 盗窃是一种威胁

Check Point Software 的安全研究员 Oded Vanunu 表示，在台湾歌手周杰伦成为受害者后，该公司对这次攻击产生了兴趣。 Chou 的 BoredApe #3738 NFT 在 XNUMX 月初通过恶意交易被刷。

“一旦我们看到这个 NFT 被盗，它就会激励我们进一步调查，”Vanunu 说。 他还补充说，在许多其他平台上也可能存在这样的漏洞。 该漏洞很快被 Rarible 修复，移除了上传 SVG 文件的选项。 Vanunu 补充说，它终止了恶意 NFT 攻击选项。

根据 Vanunu 的说法，平台上的任何用户都可能触发了安全漏洞。 但是，他没有估计会损失多少。 对 Arthur Cheong 钱包的类似攻击导致损失超过 1.86 万美元。 因此，用户在批准 NFT 平台上的请求时应始终保持谨慎。 他们还应该尽可能使用 Etherscan 的请求跟踪器。

保护您的资产的必要性

需要注意的是，这个问题并不是 Rarible 独有的，因为 Check Point 去年在 OpenSea 上发现了一个类似的缺陷。 NFT 交易标准的问题在于，它使资产持有者难以确定其真实性。

因此，您应该仔细检查您被要求签署的任何内容，以确定它所涉及的内容。 此外，如果您不确定所涉及的内容，请避免签署任何内容。 建议用户使用此令牌审批检查器查看他们之前的令牌审批并撤销那些看似欺诈的审批。

由于这些攻击的性质，它们可能需要更长的时间才能完成，并且可能会影响资产的转移。 随着区块链技术的不断发展，投资者在保护资产时需要更加谨慎。

公海陷入困境

据两名原告称，OpenSea 未能解决允许黑客窃取不可替代令牌 (NFT) 的安全漏洞。 未能解决这些问题造成了数十万美元的损失。

另一位用户抱怨说，OpenSea 让用户有责任保护他们的 NFT。 随着 NFT 场景继续受到诈骗和欺诈的困扰。

两名原告对 OpenSea 提起的诉讼可能会开创处理 NFT 相关索赔的先例。 在没有中央集权机构的情况下，法院系统将有利于处理这些案件。