Уязвимость маркетплейса OpenSea позволила одному из покупателей приобрести NFT из коллекции Bored Ape Yacht Club (BAYC) в десятки раз ниже их актуальной цены.
Экс-владелец BAYC #9991 сообщил в Twitter, что его NFT был продан всего за 0,77 ETH ($1 700), в то время как минимальная цена одного NFT из коллекции сейчас составляет 86 ETH ($200 000).
I just lost an ape guys…. I’m crying…. How did this just happen????😢😢😢😢😢😢😢😢😢😢😢😢😢😢😢
— TBALLER.eth (@T_BALLER6) January 24, 2022
Аналогичным образом были проданы BAYC #8924 за 6,66 ETH ($14 700) и BAYC #8924 за 23 ETH ($50 800). Кроме того, покупателю под ником «Jpegdegenlove» удалось приобрести два NFT Mutant Ape, один NFT Cool Cats и один NFT CyberKongz. Таким образом он выручил по крайней мере 332 ETH ($733 000). В случае BAYC за 23 ETH Jpegdegenlove смог перепродать его за 135 ETH, быстро получив более 100 ETH прибыли.
В ходе разбора ситуации выяснилось, что указанные NFT не были сняты с продажи на OpenSea полностью. Вместо этого держатели использовали трюк, позволяющий убрать NFT из интерфейса OpenSea путем перевода его в сторонний кошелек и последующего возврата в основной. Это помогает избежать комиссии за делистинг. Тем не менее такой подход не отменяет часть, касающуюся предложения о продаже NFT в блокчейне, из-за чего они остаются уязвимыми для эксплойта через API маркетплейса.
«Если у вас есть активные листинги, которые не отменялись и не достигли даты экспирации, они по-прежнему существуют», — подтвердили в OpenSea.
Чтобы проверить наличие подобных токенов в кошельке, пользователям предлагается воспользоваться сервисом orders.rarible.com, который отображает текущие и старые листинги на Rarible и OpenSea. После этого можно полностью снять NFT с продажи, проведя транзакцию с уплатой соответствующей комиссии. Сервис был запущен в начале месяца для подобных случаев, после того как 5 января NFT Mutant Serum продали за 11,55 ETH при минимальной цене в 32 ETH. Первые случаи использования эксплойта были замечены еще в конце декабря.
«Вор использует бота, который сканирует блокчейн в поиске ожидающих транзакций с ценой ниже текущего минимума, и скупает NFT», — объяснил администратор NFT-проекта Джо Варгас.
