Una vulnerabilità in una libreria open source comune nello spazio Web3 impatta la sicurezza dei contratti intelligenti pre-costruiti, influenzando diverse collezioni di NFT, inclusa Coinbase.
Come Funziona l’Attacco?
La vulnerabilità è stata scoperta da ricercatori della piattaforma di sviluppo Web3 Thirdweb, che hanno rilevato che la maggior parte dei gestori di password per Android è vulnerabile ad AutoSpill, anche senza iniezione di JavaScript. Le app Android spesso utilizzano i controlli WebView per visualizzare contenuti web, come pagine di login all’interno dell’app. I gestori di password su Android utilizzano il framework WebView della piattaforma per digitare automaticamente le credenziali dell’utente quando un’app carica la pagina di login di servizi come Apple, Facebook, Microsoft o Google. È possibile sfruttare le debolezze in questo processo per catturare le credenziali compilate automaticamente sull’app che le richiama.
Contratti Smart Impattati
I seguenti contratti smart sono impattati dalla vulnerabilità:
- AirdropERC20 (v1.0.3 e successivi), ERC721 (v1.0.4 e successivi), ERC1155 (v1.0.4 e successivi) ERC20Claimable, ERC721Claimable, ERC1155Claimable
- BurnToClaimDropERC721 (tutte le versioni)
- DropERC20, ERC721, ERC1155 (tutte le versioni)
- LoyaltyCard
- MarketplaceV3 (tutte le versioni)
- Multiwrap, Multiwrap_OSRoyaltyFilter
- OpenEditionERC721 (v1.0.0 e successivi)
- Pack e Pack_OSRoyaltyFilter
- TieredDrop (tutte le versioni)
- TokenERC20, ECRC721, ERC1155 (tutte le versioni)
- SignatureDrop, SignatureDrop_OSRoyaltyFilter
- Split (basso impatto)
- TokenStake, NFTStake, EditionStake (tutte le versioni)
Misure di Mitigazione
I proprietari di contratti smart devono adottare misure di mitigazione immediatamente per tutti i contratti pre-costruiti creati prima del 22 novembre 2023, alle 19:00 PT. Il consiglio è di bloccare i contratti vulnerabili, fare uno snapshot e poi migrarli a un nuovo contratto creato con una versione non vulnerabile della libreria. Thirdweb ha condiviso i dettagli dell’exploit con i manutentori della libreria interessata e ha affermato di non aver visto la vulnerabilità essere sfruttata in attacchi.
🔴 OSSERVATORIO INTELLIGENCE: LIVE
Risposte da Coinbase e Altri
Coinbase NFT ha annunciato che ha appreso della vulnerabilità venerdì scorso e che influisce su alcune delle sue collezioni create con Thirdweb. Mocaverse ha aggiornato i suoi utenti che i loro asset sono al sicuro e che ha “aggiornato con successo i contratti smart della collezione NFT Mocaverse, Lucky Neko e Mocaverse Relic per chiudere la rilevante vulnerabilità di sicurezza”. OpenSea ha annunciato che sta lavorando a stretto contatto con Thirdweb per mitigare i rischi coinvolti e prevede di assistere gli utenti colpiti. alcuni utenti hanno invece lamentato una mancanza di trasparenza da parte di ThirdWeb sulla scoperta da loro denunciata.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
