Değiştirilemez tokenler (NFT) için muhtemelen dünyanın en popüler pazarı olan OpenSea, bilgisayar korsanlarının kullanıcıları anonimleştirmesine ve hatta muhtemelen tam kimliklerini açığa çıkarmasına olanak tanıyan bir güvenlik açığı taşıyordu.
Bu, şu adresteki Kırmızı Takım’ın bir parçası olan siber güvenlik araştırmacılarının yeni bir raporuna göre: Imperva (yeni sekmede açılır)OpenSea’yi bilgilendiren ve daha sonra güvenlik açığının düzgün bir şekilde ele alındığını onaylayan .
Bulguları detaylandıran bir blog gönderisinde, Imperva’nın araştırmacıları, OpenSea web sitesinin, kaynaklar arası iletişimi kısıtlamadığı için siteler arası arama güvenlik açığı taşıdığını söyledi. Sorunun kökünde iFrame-resizer kitaplığı vardı.
NFT sahiplerini ifşa etmek
Araştırmacılar şunları açıkladı: “iFrame-resizer kitaplığı, sayfanın genişliğini ve yüksekliğini yayınlar; bu, belirli bir aramanın ne zaman sonuç döndürdüğünü belirlemek için bir “oracle” olarak kullanılabilir, çünkü bir arama sıfır sonuç verdiğinde sayfa daha küçüktür. Saldırgan, bir sekme veya açılır pencere aracılığıyla kaynaklar arasında sürekli olarak kullanıcının varlıklarını arayarak, kullanıcı tarafından oluşturulan bir NFT’nin adını sızdırabilir ve böylece genel cüzdan adresini açığa çıkarabilir. Bu bilgiler, kullanıcının kimliğini ilişkilendirebilir (yeni sekmede açılır) sızan NFT ve genel cüzdan adresi ile.”
Araştırmacılar, sonuç olarak kurbanların kimliklerinin açığa çıkabileceği sonucuna vardı.
Bir saldırgan, kusurdan yararlanmak için kurbana e-posta, SMS veya başka bir iletişim kanalı aracılığıyla bir bağlantı gönderebilir. Kurban, bağlantıya tıklayarak IP adresi, kullanıcı aracısı, cihaz ayrıntıları, yazılım sürümleri ve benzerleri gibi değerli bilgileri ortaya çıkarır.
Daha sonra saldırgan, hedefin NFT adlarından birini çıkarmak için siteler arası arama güvenlik açığından yararlanır. Saldırgan, sızan NFT/genel cüzdan adresini hedefle ilişkilendirerek kurbanın gerçek kimliğini açığa çıkarabilir.
Araştırmacılar, kusuru piyasaya açıkladıktan sonra OpenSea’nın “hızlı bir şekilde” bir yama yayınladığını söyledi. Kaynaklar arası iletişimi kısıtlayarak kusurun giderildiği ve böylece daha fazla istismar riskinin azaltıldığı sonucuna vardılar.