רעסעאַרטשערס פון סייבער זיכערהייט ווייכווארג פירמע Check Point האָבן יידענאַפייד אַ וואַלנעראַביליטי אין די Rarible NFT מאַרק. הונדערטער פון טויזנטער פון זיין בעערעך צוויי מיליאָן אַקטיוו כוידעשלעך יוזערז וואָלט האָבן פאַרלאָרן זייער NFTs אויב דער העקער האט עקסאַקיוטאַד עס.
טשעק פּוינט ס פאַראַנטוואָרטלעך אַנטפּלעקונג
"א געראָטן באַפאַלן וואָלט קומען פֿון אַ בייזע NFT אין Rarible ס מאַרק, זיך, ווו יוזערז זענען ווייניקער סאַספּישאַס און באַקאַנט מיט פאָרלייגן טראַנזאַקשאַנז," באמערקט טשעק פּוינט פאָרשונג.
די פּראָבלעם מיט די "setApprovalForAll" פֿונקציע, טייל פון די NFT EIP-721 נאָרמאַל, איז אַז עס גיט גאַנץ קאָנטראָל איבער די NFT אַסעץ צו אן אנדער פּאַרטיי. פישינג אנפאלן קענען זיין דיזיינד צו גאַנווענען די אַסעץ פון זייער וויקטימס. זיי קענען איבערצייגן זיי צו צייכן אַ טראַנסאַקטיאָן בעטן וואָס קוקט ווי עס איז פֿון אַ לאַדזשיטאַמאַט מקור.
רעכט צו אַ זיכערהייט אַרויסגעבן אין Rarible, יוזערז קענען צופֿעליקער מעדיע טעקעס אַרויף צו 100 מב אָן קאָנטראָלירן זיי פֿאַר פּאַטענטשאַלי בייזע אינהאַלט. רעסעאַרטשערס פון טשעק פּוינט עקספּלויטאַד דעם אַרויסגעבן דורך קריייטינג אַ SVG בילד וואָס כּולל אַ בייזע דזשאַוואַסקריפּט פּיילאָוד.
דער סיסטעם וועט ויספירן אַ קאָד אויב די ציל קליקס אויף די NFT בילד אָדער די IPFS לינק. דעריבער, צינגל אַ טראַנסאַקטיאָן בעטן אין זייער בלעטערער. אויב דער ציל קען נישט פֿאַרשטיין די דעטאַילס פון די טראַנסאַקטיאָן, זיי קען אַפּרווו די בקשה. עס אַלאַוז די אַטאַקער צו אַקסעס זייער גאנצע זאַמלונג. דער אַטאַקער וואָלט דעמאָלט נוצן די "טראַנספער פון" קאַמף צו גאַנווענען די NFTs און אַריבערפירן זיי צו זייער בייַטל. באַמערקונג אַז דעם קאַמף איז ניט-ריווערסאַבאַל.
די פּלאַטפאָרמע CPR נאָוטאַפייד ראַריבלע וועגן דעם אַרויסגעבן אויף אפריל 5. די פירמע מיד יקנאַלידזשד און פאַרפעסטיקט דעם פּראָבלעם.
NFT גנייווע איז אַ מענאַס
אָדד וואַנונו, א זיכערהייט פאָרשער ביי Check Point Software, האָט געזאָגט אז די פירמע האט זיך אינטערעסירט אין דער אטאקע, נאכדעם וואס די טייוואנעזער זינגער Jay Chou איז געווארן א קרבן. Chou's BoredApe #3738 NFT איז סוויפּט דורך אַ נעפעריש טראַנסאַקטיאָן אין די אָנהייב פון פעברואר.
"ווען מיר האָבן געזען אַז דעם NFT איז סטאָלען, עס ינסענטיווייזד אונדז צו פאָרשן ווייַטער," וואַנונו געזאגט. ער האָט אויך צוגעגעבן אַז אַזאַ אַ וואַלנעראַביליטי קען זיין מעגלעך אויף פילע אנדערע פּלאַטפאָרמס. די וואַלנעראַביליטי איז געשווינד פאַרפעסטיקט דורך Rarible, וואָס אַוועקגענומען די אָפּציע פון ופּלאָאַדינג SVG טעקעס. עס טערמאַנייטיד די בייזע NFT באַפאַלן אָפּציע, וואַנונו צוגעגעבן.
לויט Vanunu, יעדער באַניצער אויף דער פּלאַטפאָרמע קען האָבן טריגערד אַ זיכערהייט פלאָ. ער האט אבער נישט געשאצט וויפיל מען קען פארלוירען. א ענליכע אטאקע אויף ארטור טשעאנג'ס בייטל האט גורם געווען א פארלוסט פון איבער $1.86 מיליאן. דערפאר, יוזערז זאָל שטענדיק זיין פלייַסיק ווען אַפּרוווינג ריקוועס אויף NFT פּלאַטפאָרמס. זיי זאָל אויך נוצן Etherscan ס בעטן טראַקער ווען מעגלעך.
די נויט צו באַשיצן אייער אַסעץ
עס איז וויכטיק צו טאָן אַז די אַרויסגעבן איז נישט יינציק צו Rarible, ווייַל Check Point דיסקאַווערד אַ ענלעך פלאָ אויף OpenSea לעצטע יאָר. די פּראָבלעם מיט די NFT טראַנסאַקטיאָן נאָרמאַל איז אַז עס מאכט עס שווער פֿאַר אַסעט האָלדערס צו באַשליסן זייער אָטאַנטיסיטי.
דעריבער, איר זאָל ונטערזוכן אַלץ איר זענט געבעטן צו צייכן קערפאַלי צו באַשטימען וואָס עס ינוואַלווז. אויך ויסמיידן סיינינג עפּעס אויב איר זענט נישט זיכער וועגן וואָס עס ינוואַלווז. עס איז רעקאַמענדיד אַז יוזערז זען זייער פריערדיקן טאָקען אַפּרווואַלז און אָפּרופן די וואָס ויסקומען פראָדזשאַלאַנט דורך ניצן דעם טאָקען האַסקאָמע טשעקער.
רעכט צו דער נאַטור פון די אנפאלן, זיי קענען נעמען מער צו פאַרענדיקן און קענען ווירקן די אַריבערפירן פון אַסעץ. ווי בלאָקטשיין טעכנאָלאָגיע האלט צו יוואַלוו, ינוועסטערז דאַרפֿן צו זיין מער אָפּגעהיט ווען פּראַטעקטינג זייער אַסעץ.
אָפֿן ים איז אין קאָנפליקט
לויט צו צוויי קלייאַנץ, OpenSea ניט אַנדערש צו אַדרעס זיכערהייט וואַלנעראַביליטיז וואָס ערלויבט כאַקערז צו גאַנווענען ניט-פאַנגיבלע טאָקענס (NFTs). די דורכפאַל צו אַדרעס די ישוז געפֿירט הונדערטער פון טויזנטער פון דאָללאַרס אין דאַמידזשיז.
אן אנדער באַניצער קאַמפּליינד אַז OpenSea לייגט די אָנוס אויף זיין יוזערז צו באַשיצן זייער NFTs. עס קומט ווי די NFT סצענע האלט צו זיין פּלייגד דורך סקאַמז און שווינדל.
די לאָסוץ וואָס די צוויי אָנקלאָגער האָבן אָנגעקלאָגט קעגן OpenSea קען שטעלן אַ פּרעסידענט וועגן די האַנדלינג פון NFT-פֿאַרבונדענע קליימז. אין דער אַוועק פון אַ סענטראַלייזד אויטאָריטעט, די פּלאַץ סיסטעם וועט זיין וווילטויק אין האַנדלינג די קאַסעס.
מקור: https://crypto.news/rarible-nft-marketplace-vulnerability-check-point/