Penyelidik di firma perisian keselamatan siber Check Point telah mengenal pasti kelemahan dalam pasaran Rarible NFT. Beratus-ratus ribu daripada kira-kira dua juta pengguna aktif bulanannya akan kehilangan NFT mereka jika penggodam telah melaksanakannya.
Pendedahan Bertanggungjawab Check Point
"Serangan yang berjaya akan datang daripada NFT berniat jahat dalam pasaran Rarible, itu sendiri, di mana pengguna kurang curiga dan biasa dengan menyerahkan transaksi," kata Check Point Research.
Isu dengan fungsi "setApprovalForAll", sebahagian daripada standard NFT EIP-721, ialah ia memberikan kawalan sepenuhnya ke atas aset NFT kepada pihak lain. Serangan pancingan data boleh direka bentuk untuk mencuri aset mangsa mereka. Mereka boleh meyakinkan mereka untuk menandatangani permintaan transaksi yang kelihatan seperti itu daripada sumber yang sah.
Disebabkan isu keselamatan dalam Rarible, pengguna boleh memuat naik fail media sehingga 100MB tanpa menyemaknya untuk kandungan yang berpotensi berniat jahat. Penyelidik dari Check Point mengeksploitasi isu ini dengan mencipta imej SVG yang mengandungi muatan JavaScript yang berniat jahat.
Sistem akan melaksanakan kod jika sasaran mengklik pada imej NFT atau pautan IPFS. Oleh itu, cetuskan permintaan transaksi dalam penyemak imbas mereka. Jika sasaran tidak memahami butiran transaksi, mereka mungkin meluluskan permintaan tersebut. Ia membolehkan penyerang mengakses keseluruhan koleksi mereka. Penyerang kemudiannya akan menggunakan tindakan "transferFrom" untuk mencuri NFT dan memindahkannya ke dompet mereka. Ambil perhatian bahawa tindakan ini tidak boleh diterbalikkan.
CPR platform memberitahu Rarible tentang isu itu pada 5 April. Syarikat itu serta-merta mengakui dan membetulkan masalah itu.
Kecurian NFT adalah Ancaman
Oded Vanunu, seorang penyelidik keselamatan di Check Point Software, berkata bahawa syarikat itu mula berminat dengan serangan ini selepas penyanyi Taiwan Jay Chou menjadi mangsa. Chou's BoredApe #3738 NFT telah disapu melalui transaksi jahat pada awal Februari.
"Sebaik sahaja kami melihat bahawa NFT ini telah dicuri, ia mendorong kami untuk menyiasat lebih lanjut," kata Vanunu. Beliau juga menambah bahawa kelemahan seperti itu boleh berlaku pada banyak platform lain. Kerentanan telah diperbaiki dengan cepat oleh Rarible, yang mengalih keluar pilihan untuk memuat naik fail SVG. Ia menamatkan pilihan serangan NFT berniat jahat, tambah Vanunu.
Menurut Vanunu, mana-mana pengguna di platform itu boleh mencetuskan kecacatan keselamatan. Bagaimanapun, dia tidak menganggarkan berapa banyak yang mungkin hilang. Serangan serupa terhadap dompet Arthur Cheong mengakibatkan kerugian lebih $1.86 juta. Oleh itu, pengguna harus sentiasa bersungguh-sungguh apabila meluluskan permintaan pada platform NFT. Mereka juga harus menggunakan penjejak permintaan Etherscan apabila boleh.
Keperluan untuk Melindungi Aset Anda
Adalah penting untuk ambil perhatian bahawa isu ini bukan unik untuk Rarible, kerana Check Point menemui kecacatan yang sama pada OpenSea tahun lepas. Masalah dengan piawaian transaksi NFT ialah ia menyukarkan pemegang aset untuk menentukan ketulenan mereka.
Oleh itu, anda harus memeriksa apa-apa yang anda diminta untuk menandatangani dengan teliti untuk memastikan perkara yang terlibat. Juga, elakkan menandatangani apa-apa jika anda tidak pasti tentang perkara itu. Adalah disyorkan bahawa pengguna melihat kelulusan token mereka yang terdahulu dan membatalkan kelulusan token yang kelihatan menipu dengan menggunakan penyemak kelulusan token ini.
Disebabkan sifat serangan ini, serangan ini boleh mengambil masa yang lebih lama untuk diselesaikan dan boleh menjejaskan pemindahan aset. Memandangkan teknologi blockchain terus berkembang, pelabur perlu lebih berhati-hati apabila melindungi aset mereka.
Open Sea berada dalam Masalah
Menurut dua plaintif, OpenSea gagal menangani kelemahan keselamatan yang membenarkan penggodam mencuri token tidak boleh digunakan (NFT). Kegagalan untuk menangani isu-isu ini menyebabkan ratusan ribu dolar kerugian.
Pengguna lain mengadu bahawa OpenSea meletakkan tanggungjawab kepada penggunanya untuk melindungi NFT mereka. Ia datang ketika adegan NFT terus dibelenggu oleh penipuan dan penipuan.
Saman yang difailkan terhadap OpenSea oleh kedua-dua plaintif boleh menetapkan duluan mengenai pengendalian tuntutan berkaitan NFT. Sekiranya tiada pihak berkuasa berpusat, sistem mahkamah akan memberi manfaat dalam mengendalikan kes-kes ini.
Sumber: https://crypto.news/rarible-nft-marketplace-vulnerability-check-point/