目录导航
Rarible NFT 市场中的漏洞，可进行账户接管和加密货币盗窃.
强调：
- Check Point Research 发现了 Rarible NFT 市场中的一个漏洞，该漏洞允许攻击者接管加密货币钱包
- 通过引诱受害者点击恶意 NFT，攻击者可以完全控制受害者的加密钱包以窃取资金
- CPR 立即向 Rarible 报告了这个漏洞，Rarible 承认并安装了修复程序
- CPR 敦促用户保持警惕并提供预防措施
背景和负责任的披露
Rarible是一个 NFT 市场，使用户能够创建、购买和销售数字 NFT 艺术，如照片、游戏和memes。该公司报告称，2021 年的交易量超过 2.73 亿美元，用户超过 210 万，使 Rarible 成为世界上最大的 NFT 市场之一，因为它们还支持三个区块链，铸造了超过 400,000 个 NFT。此外，Rarible 通过版税为 NFT 创作者提供了巨大的收入潜力，因为每当有人在二级市场上转售他们的 NFT 时，这些创作者可以获得高达 50% 的版税。
CPR 研究人员在市场中发现了一个设计缺陷，攻击者可能会通过诱使他们点击恶意 NFT 并完全控制他们的账户（包括其中的资金）来接管用户的加密货币钱包。
CPR 立即提醒 Rarible 这一潜在风险，然后 Rarible 与我们的研究人员合作，承认了该缺陷并安装了修复程序。
技术细节：
Non-Fungible Token 有一个标准 (EIP-721)，它提供了跟踪和转移 NFT 的基本功能。该标准有一个名为setApprovalForAll的函数。
该功能主要指定谁有权控制您的所有代币/NFT，主要是为 Rarible/OpenSea 等第 3方创建，以代表用户控制 NFT/代币。
这个功能在设计上是非常危险的，因为如果你被欺骗签署它，这可能允许任何人控制你的 NFT。
用户并不总是清楚他们通过签署交易授予了哪些权限。大多数时候，受害者认为这些是常规交易，而事实上，他们正在控制自己的 NFT。
攻击者通常在网络钓鱼攻击中使用这种交易，但当它来自 NFT 市场本身时，它就危险得多。
我们研究了 Rarible NFT 市场，它允许任何人创作和销售艺术品。艺术可以是任何以下列扩展名结尾的东西：PNG、GIF、SVG、MP4、WEBM、MP3。最大大小：100 MB。
CPR 决定检查创建包含恶意代码的艺术结果，例如 SVG 图像。我们创建了一个简单的 SVG 文件并使用一个简单的有效负载上传它，如下所示：
艺术作品链接：
通过单击艺术并在另一个选项卡中打开它，或者通过从下拉列表中按下 IPFS 链接，JavaScript 代码将被执行。
钱包交易的伟大之处在于它不必在同一个域下运行，所以我们不需要任何私人信息，如 cookie 或会话，受害者只需要一个钱包，攻击者将使用 JSON- RPC 滥用它
我们的有效载荷首先通过使用以太坊 API “tokennfttx”检查受害者拥有哪些 NFT：
然后我们遍历所有 NFT，将setApprovalForAll交易发送到钱包。
在这个例子中，我们只关注BoredApeClub合约：
通过点击确认按钮，攻击者将可以完全访问受害者在所需合同下拥有的所有 NFT，即完全访问受害者的所有BoredApeClub NFT：
攻击者现在可以通过使用boardApeClub合约上的transferFrom操作将所有 NFT 转移到他的帐户，因为受害者已经“允许”他这样做：
4 月的第一周使用了相同的攻击向量，攻击者欺骗了台湾著名歌手、词曲作者、说唱歌手、唱片制作人和演员周杰伦。
要单击授予攻击者完全访问 Chou 的 BoardAppeNFT 3738 NFT 的完全访问权限的setApprovalForAll请求，可以在此处查看此交易：
https://etherscan.io/tx/0xb8a5c47dad2637b98b09e4cf97d2b7ff2ee08e344af70ae4cf2ba0e725651bb0
在 Chou 提交请求并授予攻击者访问 NFT 的权限后，攻击者将 NFT 转移到攻击者自己的钱包0xe34f004bdef6f069b92dc299587d6c8a731072da中，随后在市场上以 50 万美元的价格出售了 NFT。
NFT 用户应该知道有各种各样的钱包请求——其中一些仅用于连接钱包，但其他人可能会提供对其 NFT 和代币的完全访问权限。
如何保护自己？
- CPR 建议在收到签署 Rarible 市场或任何其他市场中的任何链接的请求时要小心谨慎。
- 在批准请求之前，用户应仔细查看请求的内容，并考虑请求是否异常或可疑。
- 如果有任何疑问，建议用户在提供任何形式的授权之前拒绝该请求并进一步检查。
- 建议用户在此链接下查看和撤销令牌批准：https ://etherscan.io/tokenapprovalchecker 。
结论：
区块链创新正在快速进行，NFT 将继续存在。鉴于创新的速度，安全集成软件应用程序和加密市场存在固有的挑战。威胁参与者知道，随着消费者采用率飙升，他们现在有一个开放的窗口可以利用，而这一领域的安全措施仍需要迎头赶上。网络安全社区必须加紧努力，帮助开创性的区块链技术保护消费者的加密资产。
转载请注明出处及链接