В субботу у пользователей торговой площадки невзаимозаменяемых токенов OpenSea злоумышленники украли сотни NFT. Согласно данным службы безопасности блокчейна PeckShield, в ходе хакерской атаки было похищено 254 токена, включая активы виртуальной площадки Decentraland и широко известные токены Bored Ape Yacht Club.

Основная часть атак произошла между 17:00 и 20:00 по восточноевропейскому времени, вызвав панику у пользователей. В общей сложности были атакованы аккаунты 32 человек. Молли Уайт (Molly White), которая ведёт блог Web3 Is Going Just Great, оценила стоимость украденных активов более чем в $1,7 млн. Предполагается, что хакеры использовали уязвимости протокола Wyvern Protocol, стандарта с открытым исходным кодом, лежащего в основе большинства смарт-контрактов NFT, в том числе созданных в OpenSea.

Как сообщает один из участников Твиттера, атака состояла из двух частей: сначала жертвы подписали частичный контракт с общим разрешением и незаполненными местами. Имея подпись, злоумышленники завершили контракт с ссылкой на собственный контракт, которым передаётся право собственности на NFT без оплаты. По сути, атакуемые подписали пустой чек - и как только он был подписан, злоумышленники заполнили оставшуюся часть чека, чтобы забрать активы.

«Я проверял каждую транзакцию, - сообщил пользователь под ником Neso. - Все они имеют действительные подписи людей, которые потеряли NFT, поэтому любой, кто утверждает, что он не подвергся фишингу, а потерял NFT, к сожалению, ошибается». Атака на OpenSea произошла в тот момент, когда площадка выполняла обновление своей системы контрактов, но OpenSea отрицает связь этих событий.

Многие детали атаки остаются неясными - в частности, метод, который злоумышленники использовали, чтобы заставить жертв подписать полупустой контракт. Стремительность атаки - сотни транзакций за считанные часы - предполагает некий общий вектор, но пока не обнаружено ни одной связи.