À la lumière des critiques et des plaintes croissantes de la communauté crypto, l’un des plus grands marchés NFT, OpenSea, a remboursé environ 1,8 million de dollars aux utilisateurs qui ont été touchés par le récent piratage de sa plate-forme.

Le 24 janvier 2022, certains utilisateurs d’OpenSea ont vu leurs précieux NFT vendus à des prix défiant toute concurrence par des pirates qui ont exploité une faille dans le processus d’inscription d’OpenSea pour acheter ces NFT avec des remises de près de 98 %, puis les revendre beaucoup plus cher.

Le « bug » d’OpenSea

Selon un rapport de la société d’analyse de chaînes de blocs Elliptic, l’exploit OpenSea était le résultat d’une faille dans la façon dont la plate-forme gère les listes d’actifs sur sa plate-forme.

OpenSea est construit sur la blockchain Ethereum, connue pour ses frais de gaz scandaleux. Par conséquent, pour réduire le montant dépensé pour les transactions, le marché NFT gère la plupart de ses fonctions hors chaîne jusqu’à ce que ces transactions doivent être envoyées à la blockchain pour règlement.

Pour répertorier un actif, les vendeurs de NFT sur la plate-forme devront signer des données hors chaîne confirmant le montant qu’ils souhaitent vendre leurs NFT. Cependant, le problème se pose lorsque les fournisseurs décident d’envoyer un message à la blockchain pour annuler la cotation initiale.

Pour éviter de payer des frais d’essence, les vendeurs transfèrent simplement le NFT vers un autre portefeuille, ce qui rend l’offre initiale invalide car le NFT n’est plus sur OpenSea.

Les choses se compliquent lorsque les fournisseurs transfèrent les actifs vers leurs portefeuilles OpenSea, peut-être lorsque la valeur du NFT a considérablement augmenté au fil du temps. En effet, la liste initiale n’a pas été effacée de la blockchain et n’importe qui pouvait acheter le NFT au prix initial, ce qui était exactement ce que les auteurs ont fait.

Ils auraient découvert ce défaut de conception dans le système OpenSea et exécuté leur attaque à l’aide d’un bot pour analyser le réseau à la recherche de NFT avec des commandes en attente de plancher bas et les ont achetés.

Elliptic a révélé avoir identifié au moins cinq attaquants impliqués dans l’exploit, y compris l’utilisateur jpegdegenlove qui a gagné au moins 340 Ether d’une valeur de plus de 800 000 $ aux prix actuels grâce à l’exploit.

OpenSea fait amende honorable

Suite à l’exploit, OpenSea a lancé un nouveau gestionnaire de listes sur la plate-forme, qui permet aux utilisateurs d’examiner efficacement les listes actives et inactives et une option en un clic pour annuler celles qui sont inactives.

Le marché NFT a également contacté les utilisateurs concernés et les a remboursés. S’adressant à Bloomberg, une victime de l’attaque, Robert Garcia, a déclaré que son Mutant Ape NFT avait été vendu pour 4,7 Ether (environ 11 300 $) dimanche.

Garcia a indiqué qu’il avait immédiatement envoyé un e-mail à OpenSea après la vente involontaire et qu’il avait reçu jeudi une réponse lui offrant un remboursement de 13,8 Ether d’une valeur de plus de 35 000 $ aux prix actuels.