No último domingo (17), hackers se infiltraram na popular plataforma de registro NFT Premint e conseguiram roubar 320 NFTs e obter mais de US$ 400 mil em lucro no que pode ser considerado um dos maiores hacks do ano do setor.
De acordo com a análise da empresa de segurança blockchain CertiK, os hackers comprometeram o site Premint no domingo com um código JavaScript malicioso.
Em seguida, eles criaram um pop-up fraudulento no site que solicitava aos usuários que verificassem a propriedade de sua carteira, visando uma medida de segurança adicional.
Após a rápida percepção de que o pop-up era falso, vários usuários imediatamente foram ao Twitter e ao Discord para alertar outros a não seguir suas instruções. No entanto, os hackers já haviam enganado vários clientes da Premint em questão de minutos.
Os NFTs furtados incluíam os de coleções populares como Bored Ape Yacht Club, Otherside, Moonbirds Oddities e Goblintown. Depois de roubar esses NFTs, os hackers imediatamente começaram a vendê-los em mercados como o OpenSea. Um Bored Ape, por exemplo, foi vendido por 89 ETH, ou cerca de US$ 132 mil.
Ao longo da invasão do domingo, os hackers lucraram aproximadamente 275 ETH, ou pouco mais de US$ 400 mil, ao render todos os 320 NFTs roubados.
Os hackers transferiram o dinheiro para o Tornado Cash, um mixing de criptomoedas que agrupa e “mistura” as transações de vários usuários, apagando efetivamente os rastros digitais deixados na blockchain. Os cibercriminosos geralmente “lavam” a criptomoeda roubada por meio desses serviços de mixing.
Ontem, a equipe da Premint foi ao Twitter para reconhecer o hack e garantir aos usuários que a maioria das contas não foi afetada pelo ataque. “Graças à incrível comunidade web3 espalhando alertas, um número relativamente pequeno de usuários caiu nessa”, disse a empresa.
No entanto, outros usuários do Premint apontaram que, após a invasão inicial no domingo, o site comprometido permaneceu ativo por cerca de 10 horas. Outros lamentaram a perda de seus bens digitais e perguntaram se a Premint estaria creditando nessas contas o valor dos NFTs que foram roubados.
Desde então, a Premint começou a acumular dados sobre todas os NFTs roubados no hack. A empresa se recusou a responder aos questionamentos do Decrypt.
Ironicamente, a Premint pretendia introduzir um novo recurso de segurança: a capacidade de fazer login no site via Twitter ou Discord, uma técnica que permitiria aos usuários acessar a plataforma sem inserir explicitamente os dados da carteira. Tal procedimento de login teria protegido os usuários da Premint da violação do final de semana.
No entanto, o recurso ainda não havia sido lançado. Após os eventos de domingo, a liderança da Premint decidiu lançar o recurso alguns dias antes do previsto:
Roubos de NFTs
O hack foi apenas o caso mais recente de ataque que tenta se beneficiar do setor de NFT, que gerou US$ 25 bilhões em vendas somente no ano passado. Mais de US$ 1,7 milhão em NFTs foram roubados em fevereiro por meio de um esquema de phishing no OpenSea.
Outro roubo de US$ 2,8 milhões em NFT ocorreu em abril como resultado de um hack na conta do Instagram do Bored Ape Yacht Club. Na época, um Bored Ape foi roubado do ator Seth Green, NFT que ele pretendia usar na sua próxima série de televisão. O ativo foi recuperado no mês passado por cerca de US$ 300 mil.
Apesar da enorme quantidade de capital que flui através do espaço NFT, a segurança desses ativos – especialmente quando conectados a empresas centralizadas como a Premint – continua sendo um problema persistente.
Como disse um usuário do Premint, “segurança é a coisa menos levada a sério no espaço cripto”.
*Traduzido e editado com autorização do Decrypt.co.
Quer negociar mais de 200 ativos digitais na maior exchange da América Latina? Conheça o Mercado Bitcoin! Com 3,8 milhões de clientes, a plataforma do MB já movimentou mais de R$ 50 bilhões em trade in. Crie sua conta grátis!