위험 고지: 본 사이트의 모든 콘텐츠는 투자 조언이 아니며, 어떠한 매매 신호·거래 유도 서비스도 제공하지 않습니다. 인민은행 등 10개 부처의 「가상화폐 거래·투기 위험 방지 및 처리에 관한 통지」에 따라 투자자 여러분의 리스크 인식을 높이시기 바랍니다. 문의 / [email protected] 琼ICP备2022009338号
TechFlow 소식, 브라우저 보안 플러그인 Pocket Universe에 따르면 Opensea의 구형 컨트랙트에서 사용자의 NFT를 훔칠 수 있는 새로운 취약점이 발견되었으며, 거래 서명만으로도 지갑을 비울 수 있다. 이는 2022년 5월 이전(Seaport 업그레이드 이전) Opensea에서 등록한 모든 NFT를 탈취할 수 있다.
기존에 Opensea는 Wyvern 프로토콜을 사용해 주문을 매칭했으며, 사용자가 NFT를 상장할 때 대리 계약(Proxy Contract)에 NFT 인출 권한(일반적인 setApprovalForAll 권한)을 부여했다. 따라서 이 대리 계약은 2022년 5월 이전에 사용자가 등록한 NFT를 회수할 수 있는 권한을 갖는다. 새로운 취약점 악용 방식은 사용자가 거래를 서명하도록 유도하여 공격자에게 사용자의 대리 계약 소유권을 넘겨주게 하고, 그 결과 공격자는 사용자의 NFT를 인출할 수 있게 된다.출처 링크
보안 브라우저 확장 프로그램 포켓 유니버스(Pocket Universe)는 오픈씨(OpenSea)의 구형 컨트랙트에서 새로운 취약점이 발견되어 사용자의 NFT를 탈취할 수 있으며, 거래 서명 시 지갑 전체가 비워질 수 있다고 밝혔다. 이 취약점을 이용하면 2022년 5월 이전(즉, 시포트(Seaport) 업그레이드 이전)에 오픈씨에서 등록된 모든 NFT를 도난당할 수 있다. 오픈씨는 그동안 오더 매칭을 위해 와이번(Wyvern) 프로토콜을 사용해 왔으며, 사용자가 NFT를 상장할 때 대리 계약(proxy contract)에 해당 NFT 인출 권한을 부여하게 된다(일반적인 setApprovalForAll).
Web3 심층 보도에 집중하고 흐름을 통찰
