OpenSea возмещает ущерб пользователям, пострадавшим от уязвимости с неактивными листингами

Краткое содержание

• OpenSea выплачивает пострадавшим пользователям $1.8 млн
• Пользователи получали доступ к OpenSea через скрытый канал
• Решение OpenSea подвергает пользователей риску

Несколько недель назад OpenSea столкнулся с проблемами среди своей базы пользователей. Проблема началась после того, как пользователи пожаловались на то, что их выставленные на продажу объекты были проданы по заниженным ценам. В ответ OpenSea вернул средства всем пользователям, пострадавшим от уязвимости с неактивными листингами. Согласно заявлению компании, она выплатила около $1,8 млн в Ethereum всем пострадавшим пользователям по всей платформе.

Пользователи получали доступ к OpenSea через лазейку

Судя по предыдущим обновлениям, наиболее пострадавшими оказались владельцы NFT из коллекции Bored Ape Yacht Club. Основная проблема заключалась в том, что большинство этих листингов было продано по старой цене, а не по обновленной. Объекты не были изъяты из блокчейна, хотя пользователи не могли получить к ним доступ через платформу OpenSea. Причиной стало то, что многие покупатели NFT использовали Tornado Cash для внесения средств на платформу.

Поскольку источник средств не мог быть установлен, покупатели могли использовать это, чтобы приобрести большинство листингов по старым ценам. Однако аналитики отмечают, что эта система использовалась уже давно. Согласно механизму работы, пользователи обязаны платить газовые комиссии при совершении транзакций в блокчейне. Однако до того, как платформа позволила пользователям выбирать время истечения срока действия их листингов, некоторые из них существовали без такого ограничения. Для отмены листинга владельцам требовалось оплатить комиссию.

Объяснение уязвимости с неактивными листингами в OpenSea

Пытаясь избежать уплаты газовой комиссии за снятие своих NFT с листинга, некоторые пользователи платформы нашли лазейку, позволяющую сделать это бесплатно. Эта лазейка требовала отправки их NFT в кошелек и обратно на платформу. Благодаря этому листинги больше не отображались в OpenSea. Однако они не понимали, что скрытый канал делал листинги неактивными, и некоторые избранные трейдеры все еще могли получать к ним доступ и покупать их.

В попытке помочь пользователям избежать эксплуатации уязвимости было отправлено письмо, в котором их просили быстро отменить неактивные листинги. Один из художников пожаловался в Twitter, что письмо было непрофессиональным, что лишь усугубило ситуацию. Эти шаги могли подвергнуть художников риску, при котором трейдеры все еще смогут покупать их NFT по более низкой цене.