Nhiều người dùng của sàn NFT OpenSea bị lừa đảo, thiệt hại 1,7 triệu USD

Hôm thứ 7 (ngày 19/02/2022), hàng trăm NFT đã bị hacker đánh cắp từ người dùng OpenSea. Theo thống kê của dịch vụ bảo mật blockchain PeckShield, khoảng 254 NFT đã bị đánh cắp trong cuộc tấn công kéo dài 3 tiếng, bao gồm cả những NFT có giá trị từ Decentraland và Bored Ape Yatch Club.

Cuộc tấn công bắt đầu từ lúc 5 giờ chiều và kết thúc vào lúc 8 giờ tối, nhắm vào 32 người dùng của sàn OpenSea. Theo ước tính của Molly White số NFT bị đánh cắp có giá trị hơn 1,7 triệu USD.

Hacker đã khai thác tính linh hoạt trong giao thức Wyvern Protocol, tiêu chuẩn mã nguồn mở nền tảng cho hầu hết smart contract NFT, bao gồm cả những smart contract được thực hiện trên OpenSea.

Về cơ bản, hacker sẽ lừa nạn nhân ký vào một hóa đơn trống sau đó chúng sẽ điền các thông tin còn lại để chiếm tài sản NFT của nạn nhân. Do vậy, các NFT được đổi chủ sở hữu mà không cần thanh toán bất kỳ khoản tiền nào.

Trong vòng gọi vốn gần đây, OpenSea được định giá tới 13 tỷ USD. Trong thời kỳ bùng nổ NFT, OpenSea là công ty có giá trị cao nhất. Nền tảng của nó cung cấp cho người dùng giao diện đơn giản để đăng, duyệt và đấu giá NFT mà không cần tương tác trực tiếp với blockchain.

Tuy nhiên, thành công cũng đi kèm với thách thức. Việc các NFT ngày càng trở nên giá trị khiến OpenSea trở thành mục tiêu tấn công của hacker. Công ty này đã phải vất vả chống đỡ các cuộc tấn công lợi dụng smart contract cũ hoặc mã độc để đánh cắp NFT của người dùng.

OpenSea không thừa nhận cuộc tấn công gần đây là do lỗi của họ. Theo hãng này, nếu hacker khai thác lỗ hổng trên nền tảng của họ thì số người bị tấn công sẽ lớn hơn nhiều chứ không chỉ dừng lại ở con số 32. Dẫu vậy, cho tới nay vẫn chưa biết hacker làm thế nào để lừa nạn nhân ký vào hóa đơn trắng.

OpenSea hiện đang nâng cấp hệ thống smart contract của họ và hứa sẽ điều tra rõ vụ việc này. Ngoài ra, OpenSea lưu ý người dùng không nên nhấn vào các đường link được gửi tới từ các email có dấu hiện giả mạo là từ OpenSea hoặc các email xác thực giao dịch không rõ ràng.