NFT có giá trị lên đến 1,7 triệu USD bị đánh cắp trên OpenSea, sàn giao dịch lớn nhất thế giới

254 NFT bị hacker đánh cắp chỉ trong 3 giờ trên sàn giao dịch OpenSea.

Vào thứ Bảy, hacker đã tấn công và đánh cắp hàng trăm NFT từ người dùng OpenSea, một sàn giao dịch lớn nhất hiện nay, gây hoang mang người dùng. Con số do dịch vụ bảo mật blockchain PeckShield thống kế, có đến 254 NFT bị đánh cắp bởi các hacker, gồm các tác phẩm có giá trị từ Decentraland và bộ sưu tập Bored Ape Yacht Club.

Vụ đánh cắp nhắm mục tiêu tổng cộng 32 người dùng. Molly White, người điều hành blog Web3 is Going Great, ước tính giá trị của số token bị đánh cắp là hơn 1,7 triệu USD.

Cuộc tấn công dường như đã khai thác tính linh hoạt trong giao thức Wyvern - tiêu chuẩn mã nguồn mở nền tảng cho hầu hết các hợp đồng thông minh NFT, bao gồm cả những hợp đồng được thực hiện trên OpenSea. Một lời giải thích bởi Giám đốc điều hành Devin Finzer trên Twitter, đã mô tả cuộc tấn công thành hai phần: một phần ghi sẵn các thông tin về hợp đồng thông minh với uỷ quyền chung, phần còn lại chuyển quyền sở hữu các NFT mà không cần thanh toán. Với phần các thông tin về hợp đồng thông minh với uỷ quyền chung, những kẻ tấn công đã hoàn thành hợp đồng bằng một lệnh gọi đến hợp đồng của chính họ, hợp đồng này đã chuyển quyền sở hữu các NFT mà không cần thanh toán. Về bản chất, các mục tiêu của cuộc tấn công đã ký vào một tấm séc trống - và một khi nó đã được ký, hacker chỉ việc điền vào phần còn lại của tờ séc để chiếm đoạt tài sản.

Người dùng sử dụng Neso cho biết: “Tôi đã kiểm tra mọi giao dịch. Tất cả nạn đều có chữ ký hợp lệ, nên bất kỳ ai khẳng định bị hacke và mất NFT thì thật đáng buồn.”

Được định giá 13 tỷ đô la trong vòng gọi vốn gần đây, OpenSea đã trở thành một trong những công ty có giá trị nhất trong thời kỳ bùng nổ NFT, cung cấp một giao diện đơn giản cho người dùng để liệt kê, duyệt và đặt giá thầu trên các mã thông báo mà không cần tương tác trực tiếp với chuỗi khối. Thành công đó đi kèm với các vấn đề bảo mật quan trọng, vì công ty đã phải vật lộn với các cuộc tấn công tận dụng các hợp đồng cũ hoặc mã độc để đánh cắp tài sản có giá trị của người dùng.

OpenSea đang trong quá trình cập nhật hệ thống hợp đồng của mình khi cuộc tấn công xảy ra, nhưng OpenSea đã phủ nhận rằng cuộc tấn công bắt nguồn từ các hợp đồng mới. Số lượng mục tiêu tương đối nhỏ khiến cho một lỗ hổng bảo mật như vậy khó xảy ra, vì bất kỳ lỗ hổng nào trong nền tảng rộng lớn hơn đều có thể bị khai thác ở quy mô lớn hơn nhiều.