La mayor plataforma de intercambio de tokens no fungibles (NFT) OpenSea sufrió este fin de semana varios ataques en los que les fueron sustraídos 641 ETH (equivalente a 1.7 millones de dólares) en este tipo de criptoactivos.
Se trata del primer ciberataque a una gran plataforma de NFTs, unos tokens basados en blockchain cuya popularidad se ha disparado en los últimos años pero que no están exentos de problemas. Y uno de ellos es precisamente la seguridad.
Aunque la empresa estima que se trató de un ataque de phishing, no tienen en claro aún de dónde provino. La hipótesis es que los usuarios pudieron haber recibido un email engañoso similar a los oficiales de OpenSea, en los que se les instaba a mover sus NFT a la cartera de otra persona.
A través de un hilo de tuit, el cofundador y director ejecutivo de la compañía, Devin Finzer indicó que, “al parecer, hasta ahora, 32 usuarios firmaron una carga maliciosa de un atacante y algunos de sus NFT fueron robados”.
Según ha señalado la compañía de seguridad blockchain y análisis de datos PeckShield, durante el ataque se requisaron 254 tokens de diferentes colecciones, causando un robo valorado en 1,7 millones de dólares. Entre las cuentas que figuran en este listado se encuentran algunas de las más valiosas actualmente, como Bored Ape Yacht Club.
Según Finzer, la cuenta del atacante ya no está activa y algunos NFT han sido devueltos a sus propietarios. A pesar de que los primeros rumores apuntaban al robo de NFT por un valor de 200 millones de dólares, el director ejecutivo desmintió esta información, añadiendo que tras vender algunas obras digitales, el atacante recibió 1,7 millones de dólares en su billetera digital en Ethereum.
El punto en cuestión es que, justo ese día, OpenSea lanzaba un nuevo contrato inteligente y pedía a los usuarios que migraran sus participaciones. La migración al nuevo sistema está en el centro del asunto, ya que habría sido la excusa utilizada por los ciberatacantes.
Las imágenes del Bored Ape Club son uno de los NFT más famosos en OpenSea.
Según destaca el propio directivo, el atacante violó el protocolo wyvern, un estándar de código abierto que utilizan diferentes plataformas -entre ellas, este mercado de NFT- para respaldar los contratos de comercio de estos activos.
Al parecer, habría modificado estos acuerdos para hacerse pasar por la plataforma y engañar a las víctimas, a quienes instó a compartir información y aprobar contratos parciales de sus cuentas. De ese modo, una parte del contrato quedaba firmada por la víctima y la otra, por el atacante haciéndose pasar por OpenSea.
De acuerdo a la explicación del CEO de OpenSea, los usuarios fueron engañados para firmar un “cheque en blanco”. El aspecto que no han confirmado todavía es a través de qué mecanismo se realizó este truco por phishing.
Desconfianza
Sin embargo, no todos los usuarios están convencidos con esta explicación. Algunas víctimas dicen que nunca abrieron un correo electrónico y que habían migrado manualmente sus colecciones a un nuevo contrato inteligente en la plataforma.
La medida buscaba dar con una “soluciona a un problema con listados inactivos” que permitían a los estafadores robar valiosos NFT de los coleccionistas en OpenSea.
Debido a que una de las fortalezas de los NFTs es su trazabilidad, es posible acceder al Wallet del atacante. Para avisar de este problema, desde OpenSea han añadido un mensaje de aviso indicando que esos NFTs fueron obtenidos en un ataque de phishing. Pocas veces un ladrón ha podido ser seguido con tanto detalle.
Otras noticias
SL
