Sayfer identifie une vulnérabilité de sécurité affectant 10 % de tous les projets NFT
[COMMUNIQUÉ DE PRESSE – Tel Adashim, Israël, 25 juillet 2022]
La société de cybersécurité Sayfer a identifié une nouvelle vulnérabilité affectant 10 % de tous les projets NFT. La soi-disant vulnérabilité BadReveal attaque le processus de frappe des jetons non fongibles, qui sont censés être générés de manière aléatoire. En exploitant le bogue BadReveal, un attaquant pourrait revendiquer les meilleurs et les plus précieux NFT au lancement avant de les revendre à grand profit sur le marché secondaire.
Avec la plupart des projets NFT, les jetons sont créés à l’aveugle pour assurer une répartition équitable des NFT, dont les caractéristiques de rareté peuvent varier considérablement. Quelques jours après l’achèvement de la frappe, la « révélation » se produit, après quoi les métadonnées sont rendues publiques et les acheteurs peuvent vérifier les caractéristiques de leur NFT. Si un attaquant parvient d’une manière ou d’une autre à accéder aux métadonnées avant qu’elles ne soient révélées, il pourrait utiliser ces informations pour récupérer de précieux NFT non révélés.
En analysant le code des principaux projets NFT, les chercheurs de Sayfer ont découvert que nombre d’entre eux impliquaient deux transactions différentes dans le processus de révélation. Le propriétaire du projet définit d’abord les métadonnées uniques pour la révélation, puis révèle ensuite les données au public. Dans l’intervalle de temps entre ces deux transactions, qui est généralement de plusieurs heures, voire plusieurs jours, un attaquant qualifié peut analyser toutes les métadonnées NFT du projet et identifier les jetons les plus rares.
Sayfer a trouvé la vulnérabilité dans des dizaines de projets dont il a évalué la base de code, et pense qu’elle est reproductible dans des milliers d’autres. Son équipe a déclaré qu’étant donné qu’il n’existe aucun moyen de tester automatiquement la présence de la vulnérabilité BadReveal, les projets NFT devraient commander un audit de sécurité avant le lancement. Cela donnera à la communauté confiance dans l’intégrité du processus de frappe et assurera une distribution équitable des NFT aux propriétaires qui s’impliqueront avec passion dans le projet.
À propos de Sayfer
Sayfer est l’une des principales sociétés de conseil en cybersécurité. Nous rendons les organisations plus sûres avec des solutions ad hoc qui comblent les lacunes que les produits de sécurité courants ne parviennent pas à atteindre. Nos clients bénéficient de solutions rapides et sur mesure qui préviennent les failles de sécurité majeures. Sayfer se spécialise dans la défense offensive en exploitant des approches qui imitent le comportement de l’attaquant. Grâce à la rétro-ingénierie et à la recherche de vulnérabilités, nous sommes en mesure de trouver de nouvelles failles de sécurité dans les produits de nos clients et d’empêcher les vrais méchants de menacer nos clients.
En savoir plus : https://sayfer.io/
