Hoewel er vaak wordt gezegd dat de blockchain een veilige optie is om belangrijke documenten op te slaan, blijkt het niet waterdicht. De marktplaats voor NFT’s OpenSea is namelijk gehackt. Het zou gaan om een phishingaanval waarbij gelukkig maar 17 mensen zijn getroffen. Toch is er meer dan 1 miljoen euro buitgemaakt.
Hackers hebben NFT’s gestolen en wisselen ze om. Als iemand namelijk een NFT koopt, dan wordt deze opgeslagen in een blockchain (een ketting van computers over de hele wereld). Het eigenaarschap over het stukje kunst is dus vastgelegd. Die NFT’s werken op de blockchain, en datzelfde geldt voor cryptovaluta. OpenSea gelooft in open protocollen zoals Ethereum en om nieuwe economieën mogelijk te maken. Op zich zijn die normaliter heel veilig, maar dat betekent niet dat ze waterdicht zijn.
OpenSea merkte dat van een paar gebruikers de NFT’s gratis van eigenaar waren gewisseld. Dat is vreemd en ongebruikelijk. Het zou gaan om onder andere Bored Ape Yacht Club en Decentraland, de bekendste NFT’s van dit moment. De aanvallers zouden het zogeheten Wyvern-protocol hebben gebruikt, want hierin zou een zwak zitten. Aangezien veel NFT-smart contracts (eigenaarslicentie) gebruikmaken van deze technologie, konden de hackers hierdoor zorgen dat de digitale kunststukken van eigenaar konden veranderen.
Het balletje zou zijn gaan rollen nadat iemand op een phishingmail heeft geklikt. Dit is een e-mail die dan van OpenSea lijkt te komen, maar je eigenlijk naar een nepsite doorsluist. Hierbij worden dan de inloggegevens van mensen met NFT’s buitgemaakt en uiteindelijk dus ook hun NFT’s. Er zouden er bij deze aanval honderden zijn gestolen. OpenSea raadt dan ook aan om een nieuw slim contract op te slaan: een soort eigenaarslicentie die ook binnen de blockchain bestaat.
In eerste instantie tekenden de slachtoffers een contract met een authorisatie, maar ook veel niet-ingevulde vakken. Omdat de handtekening er was, konden hackers het contract zo aanpassen dat het eigenaarsschap van de NFT’s veranderde, zonder dat er een betaling nodig was. Het werkte dus eigenlijk hetzelfde als een cheque uitschrijven en wel ondertekenen, maar niet aangeven voor hoeveel geld de cheque staat. Eigenlij is het dus niet zo dat de blockchain niet werkt of onveilig is: het is gewoon good old phishing en een fout van een mens waardoor het allemaal mis kon gaan, al lag daar dus wel een exploit aan ten grondslag dat het überhaupt mogelijk was om dat zo te doen.
De aanval zou zaterdag hebben plaatsgevonden en in een paar uur tijd werden er dus honderden NFT’s gestolen. Inmiddels lijkt het niet meer te rommelen, zo schrijft OpenSea. Er wordt wel nog onderzoek gedaan en we verwachten een flinke campagne van OpenSea om dit soort dingen te voorkomen. Het is hierbij ook de vraag bij wie de ‘schuld’ ligt: het zwak van Wyvern, of het zwak van de persoon die zijn handtekening zette? En wat is de rol hierin van OpenSea? Kortom, de grootste marktplaats voor NFT’s zal zijn best moeten doen om dat de komende dagen helder te krijgen.
