Blog

Un fallo de seguridad en OpenSea podría haber permitido el robo de criptomonedas

Una vulnerabilidad crítica (ya mitigada) en OpenSea, el mayor mercado de tokens no fungibles (NFT) del mundo, podría haber sido aprovechada por diferentes actores maliciosos para robar los fondos de criptomonedas de una víctima mediante el envío de un token especialmente diseñado, abriendo un nuevo vector de ataque para su explotación.

Los hallazgos provienen de la empresa de ciberseguridad Check Point Research, que inició una investigación sobre la plataforma a raíz de los informes públicos sobre el robo de carteras de criptomonedas provocado por el envío gratuito de NFT. Los problemas se solucionaron en menos de una hora tras la revelación responsable el 26 de septiembre del 2021.

Check Point Research ha subido un vídeo en su canal de YouTube con una PoC realizada en el sitio web OpenSea:

El método de ataque es tan sencillo como crear un NFT con una carga maliciosa y esperar a que la víctima pique el anzuelo y la vea. Varios usuarios informaron que sus carteras de criptomonedas han sido vaciadas tras recibir regalos en el mercado de OpenSea, una táctica de marketing conocida como «airdropping» y utilizada para promocionar nuevos activos virtuales.

Atraídos por la alerta de la cuenta, los investigadores de Check Point decidieron echar un vistazo más de cerca al funcionamiento de la plataforma y comprobar si había vulnerabilidades. Una cuenta de OpenSea requiere una cartera de criptomonedas de terceros de una lista que la plataforma permite para sus operaciones. Una de las más populares es MetaMask, la cual fue usada en la investigación y en la PoC. (Más detalles del como se llevo a cabo la PoC lo encontraran en el vídeo)

En un informe realizado los investigadores de Check Point, han resumido el ataque de la siguiente manera:

  • El actor de amenaza crea y regala una NFT maliciosa a la víctima objetivo.
  • La víctima ve la NFT maliciosa, desencadenando una ventana emergente del dominio de almacenamiento de OpenSea, solicitando la conexión a la cartera de criptomonedas de la víctima.
  • La víctima hace clic para conectar su cartera y realizar la acción en la NFT regalada, permitiendo así el acceso a la cartera de la víctima.
  • El actor de amenaza puede obtener el dinero de la cartera activando una ventana emergente adicional, también enviada desde el dominio de almacenamiento de OpenSea. Es probable que la víctima haga clic en la ventana emergente sin leer la nota que describe la transacción.

Los investigadores informaron a OpenSea de sus hallazgos el día 26 de septiembre del presente año. Ambas partes colaboraron para solucionar el problema y OpenSea presentó una solución en menos de una hora desde la divulgación de la falla de seguridad.

OpenSea afirma que no ha podido identificar ningún caso en el que los atacantes hayan explotado esta vulnerabilidad, pero sigue concienciando y educando a la comunidad sobre las mejores prácticas de seguridad y sobre cómo detectar estafas e intentos de phishing.

Más información

https://research.checkpoint.com/2021/check-point-research-prevents-theft-of-crypto-wallets-on-opensea-the-worlds-largest-nft-marketplace/

Artículos Relacionados

Protege tus aplicaciones Web y API

Accede a una evaluación completamente funciona

La primera solución completa que cubre los errores de seguridad y fallas de la lógica empresarial en todo el SDLC
Ir al Demo
Alterta Temprana de Riesgos
Reduce tu ventana de exposición al riesgo a las amenazas externas, mejorando la eficiencia en la detección y respuesta ante ciberamenazas.
Más Info
Hdiv - Protege tus aplicaciones Web y API
La primera solución completa que cubre los errores de seguridad y fallas de la lógica empresarial en todo el SDLC
Accede al Demo Gratuito
Protección de Dominios - Sendmarc
Evita y protege activamente los dominios de tu organización contra los ataques de suplantación de identidad y phishing
Más Info
Endpoint - Panda Security
Endpoint Protection Platform, EDR y Servicios de 100% Atestación y Threat Hunting integrado
Más Info

Últimos Artículos

Hablemos

Si tienes alguna duda o pregunta con nuestros servicios, puedes comunicarte directamente con nosotros o completar el formulario, y nos pondremos en contacto contigo en breve.

Email

contacto@cronup.com

Ubicación

Providencia, Santiago de Chile

Twitter

@Cronup_CyberSec

Linkedin

Cronup Ciberseguridad

CronUp Newsletter

Suscríbete a nuestro resumen semanal de noticias y alertas de seguridad para mantenerte actualizado sobre el panorama de amenazas en la región y el mundo.

* indicates required