وبحسب التقارير، قامت شركة OpenSea بإصلاح خلل كان من الممكن أن يؤدي إلى الكشف عن معلومات شخصية عن المستخدمين المجهولين إذا تم استغلاله.

وبحسب شركة الأمن السيبراني Imperva، فإن الثغرة الأمنية قد تؤدي إلى كشف هوية مستخدمي OpenSea "من خلال ربط عنوان IP أو جلسة متصفح أو بريد إلكتروني في سيناريوهات محددة"، كما أوضحت الشركة في منشور على مدونتها في 9 مارس.

وبحسب شركة Imperva، فإن المعلومات التي تم الحصول عليها وربطها بالمحفظة وسلوكها يمكن أن تحدد الهوية الحقيقية للمستخدم حيث أن NFT يتوافق مع عنوان محفظة العملة المشفرة.

يُعتقد أن ثغرة البحث عبر المواقع (cross-site) تم استغلالها. وقد أكدت شركة Imperva أن OpenSea قامت بإعداد مكتبة بشكل غير صحيح تُعيد تحجيم عناصر صفحات الويب التي تقوم بتحميل محتوى HTML من مصادر خارجية، وغالبًا ما تُستخدم لعرض الإعلانات والمحتوى التفاعلي أو الأفلام المدمجة.

قد يستخدم المستغلون المعلومات التي تُذيعها هذه المكتبة كـ“آلة استعلام (oracle)” لتركيز جهودهم عندما لا تُسفر عمليات البحث عن نتائج، لأن صفحة الويب ستكون أصغر بسبب عدم فرض OpenSea أي قيود على اتصالات هذه المكتبة. ووفقًا لـ Imperva، قد يرسل المهاجم رابطًا إلى هدف عبر البريد الإلكتروني أو الرسائل النصية، وعند النقر عليه سيوفر “معلومات مهمة، بما في ذلك عنوان IP الخاص بالهدف، ووكيل المستخدم، وبيانات الجهاز، وإصدارات البرامج.”

بعد استخراج أسماء الـNFT الخاصة بجهته المستهدفة باستخدام ثغرة OpenSea، سيربط المهاجم عنوان المحفظة المناسب بتفاصيل يمكن تحديدها مثل البريد الإلكتروني أو رقم الهاتف المستخدم لإرسال الرابط الأصلي. وقد أفادت Imperva أن المنصة “لم تعد عُرضة لخطر مثل هذه الهجمات” بعد أن قامت OpenSea “بإصلاح الثغرة فورًا” وقيدت بشكل مناسب تفاعلات المكتبة.

غالبًا ما يكون مستخدمو المنصة هدفًا لهجمات تُحاكي ميزات OpenSea من أجل تنفيذ ثغرات، مثل مواقع التصيد الاحتيالي التي تبدو وكأنها المنصة أو طلبات التوقيع التي تبدو وكأنها قادمة من OpenSea.

بسبب محاولة تصيّد كبيرة حدثت في فبراير 2022 وأسفرت عن سرقة NFTs بقيمة تجاوزت 1.7 مليون دولار من المستخدمين، واجهت OpenSea انتقادات تتعلق بأمن منصتها. ولا يزال من غير الواضح منذ متى تم تطبيق أحدث رقعة (patch)، أو ما إذا كان أي مستخدمين قد تأثروا بهذه الثغرة.

ظهر مقال “OpenSea Patches Vulnerability that Potentially Exposed users’ Identities” لأول مرة على موقع BitcoinWorld.