Ein nicht-fungibles Token (NFT) ist eine Form von Krypto-Vermögenswerten, die den Eigentumsstatus digitaler Dateien auf der Blockchain aufzeichnen. OpenSea ist der größte Marktplatz für Spekulanten und Enthusiasten, um ihre NFTs zu handeln, mit einem Verkaufsvolumen von 4,8 Milliarden US-Dollar im Januar.
Ein Fehler im Marktplatz ermöglichte es den Nutzern jedoch, bestimmte NFTs zu Preisen zu kaufen, für die sie in der Vergangenheit gelistet waren, ohne dass der Besitzer merkte, dass sie noch zum Verkauf standen.
OpenSea reagierte nicht sofort auf eine Bitte um Stellungnahme.
"Die Sicherheitslücke scheint darauf zurückzuführen zu sein, dass es früher möglich war, eine NFT zu einem neuen Preis neu zu listen, ohne die vorherige Listung zu löschen", sagte Tom Robinson, Chefwissenschaftler und Mitbegründer von Elliptic.
"Diese alten Notierungen werden nun genutzt, um NFTs zu Preisen zu kaufen, die in der Vergangenheit festgelegt wurden - oft weit unter den aktuellen Marktpreisen."
Zum Beispiel wurde eine NFT eines Cartoon-Affen aus der Bored Ape Yacht Club-Sammlung, Bored Ape #9991, am Montag für 0,77 der Kryptowährung Ether (rund 1.747 Dollar) gekauft, obwohl solche NFTs normalerweise Hunderttausende von Dollar einbringen.
Bored Ape Yacht Club ist ein Satz von 10.000 algorithmisch generierten Cartoon-Affen-NFTs, die von dem in den USA ansässigen Unternehmen Yuga Labs erstellt wurden.
Etwa 20 Minuten, nachdem Bored Ape #9991 für 0,77 Ether gekauft wurde, wurde es für 84,2 Ether (rund 189.040 $) weiterverkauft, wie aus den Blockchain-Aufzeichnungen auf OpenSea hervorgeht, wodurch der Käufer einen Gewinn von mehr als 187.000 $ erzielte.
Der ursprüngliche Besitzer der NFT, der sich auf Twitter als "TBALLER.eth" (@T_BALLER6) identifizierte, twitterte seinen Schock über die Transaktion, die er angeblich nicht autorisiert hatte:
"Yooo guys! Ich weiß nicht, was gerade passiert ist, warum wurde mein Affe gerade für .77????? verkauft.
"Ich habe meinen Affen überhaupt nicht gelistet.... Jetzt sehe ich DMs, dass er für .77 verkauft wurde?????? Wtf??????"
Robinson von Elliptic sagte, dass er bisher acht NFTs identifiziert hat, die auf diese Weise gestohlen wurden, und zwar von acht verschiedenen Geldbörsen, die von drei Angreifern genutzt wurden.
Eine Person zahlte insgesamt 133.000 Dollar für sieben NFTs, indem sie den Fehler ausnutzte, bevor sie sie dann schnell für 934.000 Dollar weiterverkaufte, so Robinson.
Er wies darauf hin, dass Krypto-Wallets zwar in der Regel anonym sind, die Angreifer aber möglicherweise identifiziert werden können, wenn sie eine Börse für die Auszahlung in Fiat-Währung nutzen.
Da Prominente, Investoren und Top-Marken auf den NFT-Markt strömen - wo Verkaufsvolumen und Preise einiger begehrter NFTs ein atemberaubendes Wachstum erlebt haben - könnte der OpenSea-Bug einigen Käufern Grund zum Innehalten geben.
OpenSea wurde 2017 gegründet und wurde in seiner letzten Finanzierungsrunde mit 13,3 Milliarden US-Dollar bewertet.
Elliptic-Daten zeigen, dass seit 2020 2 Milliarden Dollar von Nutzern dezentraler Finanzen (DeFi) durch Hacks gestohlen wurden.
"Es ist nicht üblich, marktweite Exploits zu sehen. Wir sehen zwar, dass einzelne Nutzer gehackt werden und ihre NFTs gestohlen werden, zum Beispiel durch Phishing-Angriffe, aber es ist nicht üblich, dass etwas passiert, das potenziell den gesamten Markt betrifft", fügte Robinson hinzu.
