OpenSea: ataque de phishing rouba US$ 1,7 milhão de site de NFTs

Usuários do site OpenSea, maior plataforma de negociação de tokens não-fungíveis (NFTs) da internet, foram alvo de um golpe virtual que roubou cerca de US$ 1,7 milhão (ou R$ 8,75 milhões em conversão direta de moeda) em ativos digitais. Na moeda digital utilizada no serviço, o valor era o equivalente a 641 Ethereum no momento do roubo.

O ataque teria acontecido no último sábado (19) ao longo de três horas, atingindo 32 pessoas e roubando 254 NFTs — incluindo unidades valiosas de coleções populares, como o Bored Ape Yacht Club.

Alguns dos NFTs roubados até já teriam sido recuperados e a conta dos criminosos não apresentou movimentações após a descoberta. Porém, nem todos os detalhes técnicos da operação foram divulgados e a comunidade segue preocupada com ataques parecidos que possam acontecer a partir de agora.

Esquema elaborado

Autoridades e a própria OpenSea ainda estão investigando o que aconteceu. Entretanto, a companhia reforça que nenhum mecanismo de segurança do próprio site foi burlado e que os donos dos NFTs possivelmente clicaram onde não deviam.

Aparentemente, o golpe envolveu a exploração de um protocolo de código aberto utilizado na formulação dos contratos que indicam que é dono de qual NFT.

O CEO da OpenSea, Devin Finzer, alegou em seu perfil no Twitter que as vítimas podem ter recebido algum comunicado falso que fingia ser da própria empresa, pedindo a assinatura do usuário para confirmação. Entretanto, o documento não apenas não era verdadeiro, mas também continha campos em branco — o que permitia aos bandidos adicionarem termos depois da assinatura, como realizar a transferência dos NFTs.