- Check Point Research alerta para falha de segurança encontrada na Rarible, um dos maiores marketplaces de NFT do mundo
- Vulnerabilidade permitia a um atacante roubar cripto wallets e NFTs numa única transação
A Check Point Research (CPR), área de Threat Intelligence da Check Point® Software Technologies Ltd. (NASDAQ: CHKP), fornecedor líder de soluções de cibersegurança a nível global, identificou uma falha de segurança na Rarible, um marketplace de NFT com mais de dois milhões de utilizadores ativos por mês. Se explorada, a vulnerabilidade permitiria que um agente malicioso roubasse NFTs de utilizadores e cripto wallets numa só transação. Um ataque deste tipo executado com sucesso viria de um NFT malicioso encontrado na própria plataforma da Rarible, onde os utilizadores são menos desconfiados e estão mais familiarizados com a submissão de transações. A CPR informou de imediato a Rarible quanto às suas conclusões.
Em 2021, a Rarible anunciou um volume comercial superior a 273 milhões de dólares, tornando a plataforma um dos maiores marketplaces de NFT do mundo.
Metodologia de ataque
A CPR definiu a metodologia de ataque da seguinte forma:
- Vítima recebe um link para o NFT malicioso ou clica no mesmo fazendo uma pesquisa no Marketplace
- O NFT malicioso executa um código JavaScript e tenta enviar um pedido de permissão à vítima
- Vítima aceita o pedido, dando ao atacante acesso total ao Token do NFT ou da criptomoeda.
O que levou a CPR a investigar
No dia 1 de abril, a CPR testemunhou um ataque semelhante contra Jay Chou, um famoso cantor taiwanês. Foi incitado a submeter uma transação que resultou no roubo do NFT 3738 da coleção BoardAppe, vendido mais tarde por 500,000$ no Marketplace. Qualquer detentor de critpo/NFTs pode ser vítima deste método de ataque, o que intrigou os investigadores da Check Point, levando-os a analisar a plataforma Rarible. Prevenir outros roubos de contas e criptomoedas está, naturalmente, na motivação primordial desta investigação.
As descobertas atuais da CPR somam-se à investigação anterior que data de outubro de 2021 na qual foram encontradas falhas de segurança críticas no OpenSea, o maior Marketplace de NFT do mundo. Se não fossem corrigidas, as vulnerabilidades identificadas permitiriam que hackers roubassem contas e wallets de criptomoeda completas através da criação de NFTs maliciosos.
A CPR partilhou as suas descobertas com a Rarible no dia 5 de abril de 2022. A plataforma reconheceu a falha de segurança e a CPR acredita que, no dia em que este estudo é divulgado, já haverá uma correção implementada.
“A CPR tem investido recursos significativos no estudo da forma como a criptomoeda e a segurança se interlaçam. Continuamos a ver grandes esforços por parte dos cibercriminosos no sentido de lucrar a partir da moeda digital, especialmente em marketplaces de NFT. Em outubro do ano passado, identificámos vulnerabilidades de segurança críticas no OpenSea, o maior Marketplace de NFT do mundo. Agora, estamos a ver vulnerabilidades semelhantes na Rarible. Em termos de segurança, ainda existe uma grande lacuna entre a infraestrutura Web2 e Web3. Qualquer pequena vulnerabilidade abre uma porta de entrada para um cibercriminoso roubar cripto wallets sem que ninguém se aperceba,” começa por dizer Oded Vanunu, Head of Products Vulnerabilities Research at Check Point Software. “Estamos ainda numa fase em que os marketplaces que combinam protocolos de Web3 carecem de boas práticas de segurança. As implicações de um ataque a este tipo de ativos digitais podem ser extremas. Vimos milhões de dólares ser roubados de utilizadores de marketplaces que combinam tecnologias de blockchain. Atualmente, é expectável que continuemos a ver o aumento dos roubos de criptomoeda. E os utilizadores têm de estar atentos. De momento, há dois tipos de wallets que os utilizadores têm de gerir: uma para grande parte dos recursos cripto e outra dedicada apenas a transações específicas. Assim, caso a segurança desta segunda seja comprometida, a vítima estará ainda numa posição onde não perde tudo. A CPR continuará a investigar as implicações de segurança desta nova frente da tecnologia blockchain.”
Dicas de segurança
- A CPR recomenda os utilizadores a serem cautelosos e estarem atentos quando recebem pedidos de assinatura mesmo que provenham do próprio marketplace
- Antes de aprovar um pedido, os utilizadores devem rever cuidadosamente o que está a ser requerido, e considerar se é um pedido normal ou, se pelo contrário, é suspeito
- Em caso de dúvida, os utilizadores são aconselhados a rejeitar o pedido e examiná-lo melhor antes de fornecer qualquer tipo de autorização
- A recomendação é ainda que os utilizadores revejam e revoguem as aprovações de tokens através deste link: https://etherscan.io/tokenapprovalchecker.
Post A Comment:
0 comments: