به گزارش شبکه اطلاع رسانی طلا و ارز و به نقل از کوین تلگراف، علیرغم نوسانات مستمری که بازار دارایی‌های دیجیتال را آزار می‌دهد، یکی از جایگاه‌هایی که بدون شک به شکوفایی خود ادامه داده است، بازار توکن‌های غیرمثلی(NFT) است. این امر با این واقعیت آشکار می‌شود که تعداد فزاینده‌ای از محرک‌های جریان اصلی از جمله کوکاکولا، آدیداس، بورس نیویورک (NYSE) و مک‌دونالدز، در میان بسیاری دیگر، در ماه‌های اخیر راه خود را به اکوسیستم در حال رشد متاورس باز کرده‌اند.
همچنین، با توجه به این واقعیت که تنها در طول سال 2021، فروش جهانی NFT به 40 میلیارد دلار رسید، بسیاری از تحلیلگران انتظار دارند این روند در آینده نیز ادامه یابد. برای مثال، بانک سرمایه‌گذاری آمریکایی جفریز اخیراً پیش‌بینی ارزش بازار خود را برای بخش NFT به بیش از 35 میلیارد دلار برای سال 2022 و به بیش از 80 میلیارد دلار برای سال 2025 افزایش داد - پیش‌بینی‌ای که جی‌پی مورگان نیز آن را تکرار کرد.
با این حال، مانند هر بازاری که با چنین نرخ تصاعدی رشد می کند، مسائل مربوط به امنیت را نیز باید انتظار داشت. در همین راستا، بازار معروف توکن غیرمثلی(NFT)، OpenSea اخیراً قربانی یک حمله فیشینگ شد که تنها چند ساعت پس از اعلام این پلتفرم برای به‌روزرسانی برنامه‌ریزی‌شده یک هفته‌ای خود برای حذف همه NFTهای غیرفعال از فهرست انجام شد.
در 18 فوریه، OpenSea فاش کرد که قصد دارد یک ارتقاء قرارداد هوشمند را آغاز کند، که از همه کاربران خود می‌خواهد NFT های فهرست شده خود را از بلاک چین اتریوم به یک قرارداد هوشمند جدید منتقل کنند. به دلیل ارتقاء، کاربرانی که نتوانستند مهاجرت مذکور را تسهیل کنند، در معرض خطر از دست دادن لیست‌های قدیمی و غیرفعال خود قرار داشتند. گفتنی است، به دلیل مهلت کوتاه مهاجرت ارائه شده توسط OpenSea، هکرها با یک فرصت مناسب مواجه شدند. چند ساعت پس از اعلام، مشخص شد که افراد ثالث شرور یک کمپین فیشینگ پیچیده را راه اندازی کرده‌اند و NFTهای بسیاری از کاربران را که قبل از انتقال به قرارداد هوشمند جدید در این پلتفرم ذخیره شده بودند، دزدیده‌اند.
Neeraj Murarka، مدیر ارشد فنی و یکی از بنیانگذاران Bluezelle، یک بلاک چین برای اکوسیستم GameFi، گفت که در زمان وقوع حادثه، OpenSea از پروتکلی به نام Wyvern، یک ماژول فناوری استاندارد استفاده می‌کرد که اکثر برنامه‌های وب NFT از آن استفاده می‌کنند چون این پروتکل امکان مدیریت، ذخیره و انتقال این توکن‌ها را در کیف پول کاربران فراهم می‌کند.
از آنجایی که قرارداد هوشمند با Wyvern به کاربران اجازه می داد با NFTهای ذخیره شده در "کیف پول" خود کار کنند، هکر می‌توانست ایمیل‌هایی را برای مشتریان Opensea که به عنوان نماینده پلتفرم ظاهر می‌شدند ارسال کند و آنها را تشویق به امضای تراکنش‌های "کور" کند. مورارکا در ادامه افزود: "از نظر استعاری، این مانند امضای یک چک سفید بود. به طور معمول، اگر گیرنده پرداخت، گیرنده مورد نظر باشد، مشکلی ندارد. به خاطر داشته باشید که یک ایمیل می‌تواند توسط هر کسی ارسال شود، اما به نظر می‌رسد که در این مورد توسط شخص دیگری ارسال شده بوده. در این مورد، به نظر می‌رسد گیرنده پرداخت تنها یک هکر باشد که توانسته است از این تراکنش‌های امضا شده برای انتقال و سرقت موثر NFT از این کاربران استفاده کند."
همچنین، در یک سلسله جالب از رویدادها، پس از این حادثه، هکر ظاهراً برخی از NFTهای سرقت شده را به صاحبان واقعی آنها بازگرداند و تلاش‌های بیشتری برای بازگرداندن سایر دارایی‌های از دست رفته انجام داد. الکساندر کلوس، بنیانگذار Creaton، یک پلتفرم ایجاد محتوای Web3، با ارائه دیدگاه خود در مورد کل این موضوع، گفت که کمپین ایمیل فیشینگ از یک تراکنش امضای مخرب برای تأیید همه دارایی‌ها استفاده می‌کند تا بتوانند در هر زمان تخلیه شوند. ما به استانداردهای امضای بهتری (EIP-712) نیاز داریم تا مردم بتوانند در هنگام تایید تراکنش ببینند که دقیقا چه کاری انجام می‌دهند.
در نهایت، لیور یافه، بنیانگذار و مدیر Jelurida، یک شرکت نرم افزاری بلاک چین، خاطرنشان کرد که این قسمت نتیجه مستقیم سردرگمی پیرامون ارتقای قرارداد هوشمند برنامه ریزی ضعیف OpenSea و همچنین معماری تایید تراکنش این پلتفرم است.
بازارهای NFT باید بازی امنیتی خود را تقویت کنند
از نظر مورارکا، برنامه‌های وب که از سیستم قرارداد هوشمند Wyvern استفاده می‌کنند باید با بهبود قابلیت استفاده تقویت شوند تا اطمینان حاصل شود که کاربران بارها و بارها در معرض چنین حملات فیشینگ قرار نمی‌گیرند. برنامه های وب مانند OpenSea باید یک پروتکل سختگیرانه را اتخاذ کنند تا هرگز از طریق ایمیل با کاربران ارتباط برقرار نکنند، شاید فقط ایمیل‌هایی که شامل اطلاعات ثبت نام باشند.
با این اوصاف، او پذیرفت که حتی اگر OpenSea ایمن‌ترین پروتکل‌ها و استانداردهای امنیتی/حریم خصوصی را بپذیرد، باز هم به کاربرانش بستگی دارد که خود را در مورد این خطرات آموزش دهند. "متأسفانه، خود برنامه وب اغلب مسئول شناخته می شود، حتی اگر این تقصیر کاربر بوده باشد. حالا چه کسی کاملا مسئول است؟ پاسخ نامشخص است."
جسی چان، رئیس ParallelChain، یک اکوسیستم بلاک چین غیرمتمرکز، احساسات مشابهی نیز دارد، او گفت که صرف نظر از نحوه سازماندهی کل حمله، این موضوع کاملاً به پروتکل‌های امنیتی موجود OpenSea وابسته نیست، بلکه به آگاهی کاربر در برابر این حملات نیز بستگی دارد. در مورد این فیشینگ این سوال باقی می‌ماند که آیا اپراتور بازار باید می‌توانسته اطلاعات کافی را در اختیار کاربران خود قرار دهد تا آنها را از نحوه برخورد با چنین سناریوهایی مطلع سازد. امکان دیگر برای کاهش هرگونه رویداد احتمالی فیشینگ این است که تمام تعاملات بین کاربران و برنامه های وب آنها صرفاً از طریق استفاده از یک رابط اختصاصی موبایل/دسکتاپ انجام شود. "اگر تمام تعاملات نیاز به استفاده از یک برنامه دسکتاپ داشته باشد، چنین حملاتی را می‌توان به طور کامل دور زد."
مورارکا خاطرنشان کرد که بهترین راه برای از بین بردن احتمال این حملات این است که مردم شروع به استفاده از کیف پول‌های سخت افزاری کنند. این به این دلیل است که اکثر کیف پول‌های نرم‌افزاری و همچنین سایر راه‌حل‌های ذخیره‌سازی نگهبانی در طراحی کلی و چشم‌انداز عملیاتی خود بسیار آسیب‌پذیر هستند. او در ادامه توضیح داد: «مانند بیت‌کوین، اتریوم و غیره، NFTها هم باید به جای رها شدن در یک پلتفرم متمرکز، به حساب‌های کیف پول سخت‌افزاری منتقل شوند."
"کاربران باید از خطرات پاسخ دادن به ایمیل‌هایی که دریافت می‌کنند، آگاه باشند. ایمیل‌ها را می‌توان به راحتی جعل کرد و کاربران باید در مورد امنیت دارایی‌های رمزنگاری خود هشیار باشند."
نکته دیگری که دارندگان NFT باید به خاطر بسپارند این است که آنها فقط باید از برنامه‌های وبی بازدید کنند که از پروتکل‌های امنیتی با کیفیت بالا و پیشرفته استفاده می‌کنند و بررسی کنند که آیا بازارهای مورد دسترسی از مکانیسم HTTPS (حداقل) استفاده می‌کنند آنها می‌توانند نماد قفل را به وضوح ببینند.
Yaffe معتقد است که کاربران باید مراقب تأییدیه‌های قرارداد باشند و ردیابی دقیق قراردادهایی را که در گذشته سبز رنگ کرده‌اند، حفظ کنند. "کاربران باید تأییدیه‌های غیرضروری یا ناامن را لغو کنند. در صورت امکان، کاربران باید یک محدودیت هزینه معقول را برای هر تأیید قرارداد مشخص کنند."
در نهایت، چان معتقد است که در یک سناریوی ایده آل، کاربران باید کیف پول خود را روی یک پلتفرم اختصاصی نگه دارند که از آن برای خواندن ایمیل یا مرور وب استفاده نمی‌کنند، و اضافه می‌کند که چنین راه‌هایی در معرض انواع حملات شخص ثالث است. وی در ادامه بیان کرد: "این ناخوشایند است، اما هنگام برخورد با دارایی‌های با ارزش بالا مراقبت شدید حیاتی است. و مانند همه تراکنش‌های مالی، آنها باید در تصمیم‌گیری با چه کسی معامله کنند، بسیار مراقب باشند، زیرا طرف‌های مقابل نیز می‌توانند دارایی‌های شما را بدزدند و بعد بدون رد و ناپدید شوند."
بنابراین، در حالی که به سمت آینده‌ای حرکت می‌کنیم که توسط NFTها و سایر پیشنهادات دیجیتال جدید مشابه حرکت می‌کند، باید دید که چگونه پلتفرم‌های فعال در این فضا به تکامل و بلوغ خود ادامه می‌دهند، به خصوص که مقدار سرمایه رو به رشدی همچنان دذ حال باز کردن راه خود به بازار NFT است.
نظرات کاربران