“Một NFT chứa mã độc đã có thể hủy hoại chợ NFT của Rarible khi đa phần người dùng vốn đặt niềm tin vào nền tảng và đã quá quen thuộc với việc xác nhận thanh toán giao dịch”, theo Check Point Research.
Hãng an ninh mạng Check Point đã phát hiện sơ hở trí mạng có thể làm “bốc hơi” toàn bộ bộ sưu tập NFT của hơn 2 triệu người dùng của Rarible. Hồi tháng 10/2021 thì hãng này cũng đã phát hiện ra nhiều vấn đề tương tự đối với các đợt airdrops khả nghi trên nền tảng của OpenSea.io
Theo như chia sẻ của Check Point, bộ phận nghiên cứu Check Point Research (CPR) gần đây đã phát hiện một đường link độc hại sẽ dẫn người nhấn vào đến một NFT chứa đoạn mã độc khiến nạn nhân buộc phải chấp nhận mọi giao dịch được gửi tới.
Về phần Rarible thì đã được CPR thông báo về đường dẫn này vào ngày 05/04, ngay lập tức Rarible đã bắt tay vào khắc phục và cũng nhận thức được độ nghiêm trọng của vấn đề:
“Nếu có sự cố xảy ra, các NFT cũng như tài sản số của người dùng sẽ bị cưỡng đoạt chỉ bằng một giao dịch. Với lòng tin của người dùng vào nền tảng cũng như thói quen xác nhận thanh toán trong vô thức sẽ giúp cuộc tấn công diễn ra trót lọt.”
Oded Vanunu, Trưởng bộ phận CPR của Check Point cho biết, đội nghiên cứu đã bày tỏ quan tâm sâu sắc với hình thức scam này sau khi sự cố tương tự diễn ra với BoredApe #3738 của ca sĩ người Đài Loan, Jay Chou.
“Rarible rất nhanh chóng đã nhận thức được độ nghiêm trọng của sự việc và đã khắc phục ngay lập tức bằng cách gỡ bỏ chức năng tải tệp SVG. Qua đó mà ngăn chặn những NFT chứa mã độc được đem lên trưng bày.”
Khi được hỏi về ước tính mức độ tổn thất của lỗ hổng an ninh này, Vanunu đã từ chối trả lời bởi vì phạm vi tác động của nó là không thể tưởng tượng nổi. Đáng chú ý là một đợt tấn công tương tự trên ví của Arthur0x, nhà sáng lập DeFiance Capital, đã làm thiệt hại lên tới 600 ETH (~1.9 triệu đô la)
Cũng qua sự việc lần này, CPR cũng gửi đi thông điệp tới người dùng trên khắp thế giới rằng phải hết sức cẩn thận mỗi khi chuẩn bị xác nhận bất cứ thanh toán nào trên các nền tảng NFT, và truy cập vào Etherscan để tìm hiểu thông tin chi tiết nếu không quá chắc chắn về giao dịch.
