OpenSea Saldırısında 1,7 Milyon Dolarlık NFT Çalındı

Cumartesi günü, dünyanın en büyük NFT platformlarından biri olan Opensea bir siber saldırıya uğradı. Yapılan saldırı sonucunda yüzlerce NFT çalındı ve saldırı sitenin geniş kullanıcı tabanını büyük bir paniğe sürükledi. Blockchain güvenlik hizmeti PeckShield tarafından derlenen bir tablo, saldırı sonucunda 254 NFT'nin çalındığını ortaya koydu. Çalınan NFT'ler arasında, Decentraland ve Bored Ape Yacht Club'dan olan NFT'ler de bulunuyor.

Söz konusu saldırılar ise 17.00 ile 20.00 saatleri arasında gerçekleşti ve totalde 32 kullanıcıyı hedef aldı. Çalınan NFT'lerin toplam değerinin ise 1,7 milyon dolar olduğu tahmin ediliyor.

Saldırının, OpenSea'de yapılanlar da dahil olmak üzere, çoğu NFT sözleşmesinin altında yatan açık kaynak standardı olan Wyvern Protokolü'ndeki bir açıktan yararlanarak yapıldığı düşünülüyor. OpenSea CEO'su Devin Finzer, Twitter üzerinden yapmış olduğu açıklamasında, saldırıyı iki aşamalı olarak anlattı: ilk olarak saldırganlar, genel yönetim sistemiyle sözleşmenin büyük kısmını boş bırakarak kısmi bir anlaşma yaptılar. Anlaşma yapıldıktan sonra ise, anlaşmanın bu boş bırakılan kısımlarına; "NFT'nin kendilerine ücretsiz olarak verileceği" maddesini ekleyerek anlaşmayı tamamladılar. Yani bir nevi genel yönetim sistemine boş kağıda imza attırıp, ardından kağıdın kalan kısmını kendi maddeleriyle doldurdular.

Ayrıca bir Twitter kullanıcısı, söz konusu sözleşmelerde NFT'lerini kaybeden insanların geçerli imzalarının bulunduğunu ve kullanıcıların ayrıca kimlik avına (phishing) uğramış olduklarını söyledi.

OpenSea CEO'su Açıklama Yaptı

Geçtiğimiz ocak ayında düzenlenen bir yatırım turunda 13 milyar dolar gibi büyük bir değerlemeye ulaşmış olan OpenSea, NFT alım satımı konusunda en büyük platformlardan bir tanesi. Firma, kullanıcıların karmaşık süreçlerden geçmeden, basitçe NFT'leri görüntülemesini, incelemesini ve teklif vermesini sağlıyor.

Elbette ki firma büyüdükçe, bu büyüme birtakım güvenlik sorunlarını da beraberinde getiriyor.

OpenSea, saldırı gerçekleştiği sırada sözleşme sistemini güncelleme sürecinde bulunuyordu. Fakat firma, saldırının yeni sözleşmelerin saldırıya sebep olduğu iddiasını reddediyor. Otoriteler ise firmaya bu konuda hak veriyor. Böyle bir açığın olması durumunda, yalnızca 32 kişinin değil bütün kullanıcıların hedef alınacağı söyleniyor.

Saldırının ayrıntıları ise henüz net olarak bilinmiyor. Özellikle saldırıyı gerçekleştirenlerin, yarı boş sözleşme imzalatmak için hangi yöntemi kullandıkları merak ediliyor. OpenSea CEO'su Devin Finzer, Twitter üzerinden yaptığı bir açıklamasında, saldırıların kaynağının OpenSea'nin web sitesi, firmanın çeşitli listeleme sistemleri veya şirketten gelen herhangi bir e-posta olmadığını söyledi. Saldırının kaynağı ise hala gizemini koruyor.

Finzer açıklamasında ayrıca, saldırının detaylarıyla ilgili daha fazla bilgi edindikçe konu hakkında bilgilendirme yapacaklarını ve konu hakkında yararlı olabilecek bir bilgi paylaşımı için OpenSea'nin destek birimine başvurulabileceğini söyledi.

Bu tarz diğer haberlerimize buradan ulaşabilirsiniz.