Sicherheitsforscher von Check Point meldeten eine kritische Sicherheitslücke an OpenSea. Diese wurde durch manipulierte NFTs möglich.
Sicherheitsforscher der Firma Check Point fanden eine kritische Sicherheitslücke in der NFT-Handelsplattform OpenSea. Diese konnte möglicherweise bereits genutzt werden, um die Wallets und Accounts von Benutzern zu kapern.
OpenSea, der größte Marktplatz für Non-Fungible Tokens (NFT), hatte in der Vergangenheit immer wieder mit Schwierigkeiten zu kämpfen. Zuletzt wurden Vorwürfe des Insiderhandels laut. Nun kommt laut der Sicherheitsfirma Check Point hinzu, dass eine kritische Sicherheitslücke in der Website möglicherweise bereits ausgenutzt wurde. Die Schwachstelle erlaubte es böswilligen Hackern, die Krypto-Wallets und Accounts der Benutzer zu übernehmen.
Schwachstelle in den OpenSea-Wallets entdeckt
Aufmerksam wurden die Sicherheitsforscher durch Meldungen über geschenkte NFTs, die Angriffe auslösten. Daraufhin untersuchten sie die Plattform auf Sicherheitslücken. Sie wurden fündig und bewiesen, dass es möglich war, Wallets und Accounts der Benutzer zu übernehmen. Schnell informierten sie OpenSea über die gefundene Lücke und nach weniger als einer Stunde war sie bereits geschlossen.
Die Ausnutzung der Lücke ist allerdings eher theoretischer Natur. Hier im Detail, wie sie ausgesehen haben könnte:
- Ein Hacker erstellt eine bösartige Geschenk-NFT mit einer SVG-Datei als Inhalt. Diese übermittelt er dem Opfer.
- Das Opfer rechtsklickt das Bild im NFT und öffnet es in einem neuen Tab oder Fenster. Dadurch wird ein Pop-up von der Storage-Domain von OpenSea ausgelöst. In diesem Pop-up fragt ein Drittanbieter-Walletprovider eine Verbindung zur Wallet des Opfers an. Dies ist ungewöhnlich, da Drittanbieter-Bilder keine Verbindung zu Wallets auf OpenSea auslösen.
- Falls das Opfer der Verbindung zugestimmt hat, soll es in einem weiteren Pop-up eine Transaktion unterzeichnen. Damit könnte dann das Opfer unabsichtlich NFTs oder Kryptos an den Angreifer senden.
- Ein vorsichtiger Benutzer würde hier vermutlich bereits erkennen, dass das Anliegen böswillig ist und die Transaktion abbrechen. Jemand, der leichtgläubig ist, würde an diesem Punkt dem Angriff zum Opfer fallen.
Hoher Aufwand durch Untersuchung der Lücke
Check Point Research meldete die Lücke am 26.09.2021 an OpenSea. Innerhalb einer Stunde ab dem Meldungszeitpunkt war die Schwachstelle bereits geschlossen. Durch die Meldung untersuchte OpenSea 73 Millionen Objekte und 4,4 Millionen SVG-Dateien. OpenSea vermeldete, dass die Suche 77 bösartige NFTs ans Licht brachte. Sie untersuchten auch Berichte von Nutzern im Zusammenhang mit der Sicherheitslücke. Allerdings konnten sie bisher keine Fälle ausfindig machen, in denen der Angriff erfolgreich durchgeführt wurde.
Tarnkappe.info
