نقص فنی در بازار اوپن‌سی؛ هکرها NFTهای مشهور را با قیمت‌های بسیار پایین می‌خرند

اخیراً گزارش‌هایی منتشر شده است مبنی بر اینکه برخی از توکن‌های غیرمثلی (NFT) موجود در بازار اوپن‌سی (OpenSea) با قیمت‌هایی بسیار پایین و غیرواقعی به فروش رسیده‌اند. در حالی که این مشکل به یک ایراد فنی نسبت داده شده است، کارشناسان می‌گویند برخی از آدرس‌های فعال در این بازار، همچنان در معرض خطر قرار دارند.

به گزارش کوین دسک، تاکنون حداقل سه مهاجم از نقص فنی بازار اوپن‌سی سوء‌استفاده کرده‌اند. آنها با استفاده از این باگ توانسته‌اند چند NFT را با تخفیف‌های هنگفت و پایین‌تر از قیمت‌های واقعی خریداری کرده و سود زیادی به‌ دست بیاورند. این مهاجمان NFTهای موردنظرشان را با قیمت‌های قدیمی‌تر و در نتیجه پایین‌تر خریده و سپس با سود بسیار زیادی به دیگر کاربران اوپن‌سی فروخته‌اند. گفتنی است این باگ اولین بار در ۳۱ دسامبر ۲۰۲۱ (۱۰ دی) کشف شده بود.

طبق گفته‌های شرکت تحلیلی الیپتیک (Elliptic)، یکی از این مهاجم‌ها با نام مستعار «jpegdegenlove»، برای هفت NFT مشهور تنها ۱۳۳,۰۰۰ دلار پرداخت کرده و کمی بعد آنها را به قیمت ۹۳۴,۰۰۰ دلار فروخته است. او NFTهای خود را با استفاده از اتریوم به فروش رسانده و پنج ساعت بعد ارز خود را از طریق پروتکل تورنادو کش (Tornado Cash) منتقل کرده است. تورنادو کش برنامه‌ای است که با استفاده از آن می‌توان در شبکه اتریوم تراکنش ناشناس انجام داد؛ بدون اینکه کسی از آدرس مبدأ تراکنش مطلع شود.

NFTها دارایی‌های دیجیتالی هستند که روی بلاک چین ساخته می‌شوند و مالکیت یک شیء مجازی یا فیزیکی را نشان می‌دهند. اوپن‌سی هم بزرگترین بازار خریدوفروش NFTهاست.

طبق ارزیابی شرکت الیپتیک، ارزش NFTهایی که در جریان این حملات با قیمت‌های غیرواقعی معامله شده‌اند، بیش از ۱ میلیون دلار بوده است. این شرکت گفته است Jpegdegenlove تاکنون بخشی از وجوه قربانیان را پس داده و روز دوشنبه برای آنها ۷۵,۰۰۰ دلار فرستاده است.

بنیانگذار انجمن کلکسیونرهای توکن‌های غیرمثلی به اسم «Freshdrops.io» پیشتر در توییتر خود اعلام کرده بود:

بعضی از کاربران در حال انتقال دارایی‌های خود به کیف پول‌های دیگر هستند و می‌خواهند در عین حال برای حذف فهرست فروششان هزینه‌ای پرداخت نکنند.

این دارایی‌ها پس از انتقال، دیگر در فرانت‌اِند وب‌سایت بازار اوپن‌سی دیده نمی‌شوند؛ اما همچنان از طریق APIهای مربوط به این پلتفرم و بازار رَریبل (Rarible) در دسترس هستند.

تال بری (Tal Be’ery) مدیر ارشد فناوری کیف پول ارز دیجیتال زنگو (ZenGo)، در توییتر گفته است یکی از NFTهای مجموعه بورد ایپ یات کلاب (Bored Ape Yacht Club) هم به‌‌خاطر این نقص فنی به سرقت رفته است. او گفت چندی پیش، این NFT با قیمت معامله خود در ژوییه ۲۰۲۱ (خرداد)، یعنی ۲۳ اتریوم، برای فروش گذاشته شده بود. درنهایت هم مهاجم توانسته است آن را به قیمت ۱۳۵ اتریوم بفروشد و بیش از ۱۰۰ اتریوم سود کند.

حساب کاربری رسمی اوپن‌سی در شبکه اجتماعی دیسکورد (Discord)، گفته است:

اگر کسی سفارش فروش فعالی در بازار اوپن‌سی دارد و هیچ‌وقت آن را لغو نکرده یا تاریخ آن منقضی نشده است، یعنی سفارش او همچنان وجود دارد و از بین نرفته است.

اینفلوئنسری به نام جو ورگاس (Joe Vargas)، که خود در حال حاضر روی مجموعه NFTهایی به نام «SavePlanetEarth» کار می‌کند، گفته است:

این سارق قطعاً با استفاده از یک ربات شبکه را اسکن کرده و بعد از پیداکردن تراکنش‌های معلق، آنها را خریده است.

بعضی از NFTهای مجموعه‌های مشهوری مثل بورد ایپ یات کلاب، میوتنت ایپ یات کلاب (Mutant Ape Yacht Club)، سایبر کانگز (CyberKongz) و کول کتس (Cool Cats) به‌‌خاطر این نقص فنی به سرقت رفته‌اند. برای مثال، در ۲۴ ژانویه (۴ بهمن)، شخصی در توییتر متوجه شده بود یکی از NFTهایی که از مجموعه بورد ایپ یات کلاب داشته، به قیمت ۰.۷۷ اتریوم به فروش رفته است.

سخنگوی بازار اوپن‌سی گفته مشکلی که برای برخی از NFT‌های موجود در این پلتفرم به وجود آمده است، به‌عنوان حمله هکری یا باگ برنامه این بازار در نظر گرفته نمی‌شود؛ بلکه مربوط به ماهیت و ساختار شبکه‌های بلاک چینی است.

توسعه‌دهندگان اوپن‌سی برای پیش‌گیری از بروز موارد مشابه، صبح امروز داشبوردی را به سیستم مدیریت حساب کاربران اضافه کردند که در آن تمام درخواست‌های فروش غیرفعال کاربر نمایش داده شده است و می‌‌توان با یک کلیک درخواست‌های فعال را لغو کرد.

از سوی دیگر اما، مدیر ارشد فناوری کیف پول ارز دیجیتال زنگو، گفته است:

این اصلاح تنها مشکل کاربران جدید را حل می‌کند، چراکه با حذف هر درخواست تنها بخش ظاهری تغییر کرده و خود قرارداد همچنان آسیب‌پذیر خواهد بود. آن دسته از کاربران اوپن‌سی که در گذشته NFTهای خود را مجدداً در این بازار عرضه کرده‌اند، [یعنی در سابقه خود برای یک NFT مشخص، یک سفارش قدیمی و یک سفارش جدید با دو قیمت متفاوت دارند]، همچنان در معرض چنین حملاتی قرار دارند. این در حالی است که کاربران جدید نمی‌توانند پیش از حذف سفارش‌های قدیمی خود، برای یک NFT سفارش فروش جدید ثبت کنند.