साइबर सुरक्षा फर्म ने एनएफटी मार्केटप्लेस पर गंभीर भेद्यता का पता लगाया दुर्लभ

चेक प्वाइंट, अमेरिकी-इजरायल बहुराष्ट्रीय कंपनी जो आईटी सुरक्षा के लिए हार्डवेयर और सॉफ्टवेयर उत्पाद प्रदान करती है, ने लोकप्रिय एनएफटी मार्केटप्लेस रारिबल में एक सुरक्षा दोष की पहचान की है, जिसमें दो मिलियन से अधिक मासिक सक्रिय उपयोगकर्ता हैं।

रारिबल पर सुरक्षा दोष

में ब्लॉग पोस्ट, सीपीआर ने कहा कि यदि दोष का फायदा उठाया जाता, तो एक दुर्भावनापूर्ण अभिनेता को एक ही लेनदेन में उपयोगकर्ता के एनएफटी और क्रिप्टोकरेंसी वॉलेट को चुराने की अनुमति मिल जाती।

रेरिबल एनएफटीएफ क्षेत्र में सबसे स्थापित बाजारों में से एक है। इसने 273 में ट्रेडिंग वॉल्यूम में $2021 मिलियन से अधिक की सूचना दी। इसलिए, सीपीआर ने उल्लेख किया कि प्लेटफ़ॉर्म उपयोगकर्ता "लेनदेन सबमिट करने में कम संदिग्ध और परिचित हैं।" फर्म के शोधकर्ताओं ने 5 अप्रैल को रेरिबल को इस खोज के बारे में सचेत किया, जिसके बाद एनएफटी प्लेटफॉर्म ने खामी को स्वीकार किया और इसे तुरंत ठीक कर दिया।

हमले की विधि को रेखांकित करते हुए, सीपीआर ने नोट किया:

“पीड़ित को दुर्भावनापूर्ण एनएफटी का एक लिंक प्राप्त होता है या वह बाज़ार ब्राउज़ करता है और उस पर क्लिक करता है। दुर्भावनापूर्ण एनएफटी जावास्क्रिप्ट कोड निष्पादित करता है और पीड़ित को setAppprovalForAll अनुरोध भेजने का प्रयास करता है। पीड़ित अनुरोध सबमिट करता है और हमलावर को इस एनएफटी/क्रिप्टो टोकन तक पूर्ण पहुंच प्रदान करता है।"

सीपीआर पहली बार इस प्रकार के मामलों में दिलचस्पी लेने लगा जब एक लोकप्रिय ताइवानी गायक जे चाउ इसी तरह के साइबर हमले का शिकार हो गए। कथित तौर पर, हमलावरों ने चाउ का एनएफटी चुरा लिया और बाद में इसे $500k में बेच दिया।

दिलचस्प बात यह है कि फर्म भी पता चला पिछले अक्टूबर में OpenSea पर गंभीर सुरक्षा कमजोरियाँ, जो संभावित रूप से हमलावरों को "उपयोगकर्ता खातों को हाईजैक करने और दुर्भावनापूर्ण एनएफटी तैयार करके संपूर्ण क्रिप्टोकरेंसी वॉलेट चुराने" में सक्षम कर सकती थीं।

इसने उपयोगकर्ताओं से जो अनुरोध किया जा रहा है उसकी समीक्षा करते समय सावधानी बरतने का भी आग्रह किया। यदि अनुरोध असामान्य या संदिग्ध प्रतीत होता है, तो उन्हें इसे अस्वीकार कर देना चाहिए और किसी भी प्रकार का प्राधिकरण प्रदान करने से पहले इसका निरीक्षण करना चाहिए।

एनएफटी मार्केटप्लेस पर बड़े पैमाने पर हमले

आर्बिट्रम-आधारित एनएफटी मार्केटप्लेस - ट्रेजरडीएओ - के एक महीने से कुछ अधिक समय बाद यह विकास हुआ है। देखा लेन-देन की एक श्रृंखला में सैकड़ों एनएफटी चोरी हो गए। दुर्भावनापूर्ण संस्थाओं ने प्रोटोकॉल में एक सुरक्षा भेद्यता का फायदा उठाया जो उन्हें मुफ्त में अपूरणीय टोकन बनाने में सक्षम बनाता है।

वर्ष की शुरुआत में ओपनसी के फ्रंट-एंड का भी शोषण किया गया, जिसने बोरेड एप यॉट क्लब (बीएवाईसी) धारकों को लक्षित किया। जैसा कि पहले बताया गया है, अपराधी कामयाब लगभग $750K मूल्य का ETH चुराना।