Esta prueba de concepto de NFT puede robar las direcciones IP de usuarios desprevenidos

Resulta que algunos NFT podrían estar creando sus propias colecciones. ¿Su objetivo? Tus datos privados.

Tanto OpenSea como Metamask han registrado casos de filtraciones de direcciones IP asociadas a la transferencia de NFT, según los investigadores de Convex Labs y OMNIA Protocol.

Nick Bax, jefe de investigación de la organización de NFT, Convex Labs, probó cómo los mercados de NFT como OpenSea permiten a los vendedores o a los atacantes recopilar direcciones IP. Creó un anuncio de una imagen con el estilo de Los Simpsons y South Park, con el título “I just right click + saved your IP address” para demostrar que cuando se ve el anuncio de NFT, se carga un código personalizado que registra la dirección IP del visitante y la comparte con el vendedor.

https://twitter.com/bax1337/status/1485606353255206915?ref_src=twsrc%5Etfw” rel=”noopener noreferrer nofollow” target=”_blank

https://twitter.com/alxlpsc/status/1484102749566476291?ref_src=twsrc%5Etfw” rel=”noopener noreferrer nofollow” target=”_blank

Mi equipo y yo descubrimos una vulnerabilidad de privacidad crítica en la billetera de criptomonedas más popular.

¿Estás usando MetaMask?
Pues tengo malas noticias para ti: ¡tu privacidad está en riesgo!

En una publicación de Medium, Lupascu describió las posibles consecuencias de cómo un “actor malicioso puede acuñar un NFT con la imagen remota alojada en su servidor, y luego enviar este coleccionable a una dirección de blockchain (víctima) y obtener su dirección IP”. Su preocupación es que si un atacante reúne una colección de NFT, apunta todos ellos a una única URL y los envía a millones de monederos, entonces podría dar lugar a un ataque de denegación de servicio distribuido (DDoS, por sus siglas en inglés) a gran escala. Según Lupascu, la filtración de datos personales también puede dar lugar a un secuestro.

También sugirió que una posible solución podría ser exigir el consentimiento explícito del usuario a la hora de obtener la imagen remota del NFT: Metamask o cualquier otra billetera avisaría al usuario de que alguien de OpenSea u otro mercado está obteniendo la imagen remota del NFT, e informaría al usuario de que su dirección IP puede quedar expuesta.

Un grupo de defensa de las políticas cripto advierte sobre una disposición ‘desastrosa’ en un nuevo proyecto de ley de EEUU

Dan Finlay, CEO de Metamask, respondió a Lupascu en Twitter afirmando que, aunque “el problema se conoce desde hace tiempo”, ahora están empezando a trabajar para solucionarlo y mejorar la seguridad y la privacidad de los usuarios.

Ese mismo día, incluso Vitalik Buterin reconoció los desafíos en torno a la privacidad off-chain dentro de la Web 3.0. En un reciente episodio del podcast UpOnly, Buterin dijo que “la lucha por más privacidad es importante. La gente subestima los riesgos de no tener privacidad”, y añadió que cuanto “más cripto se vuelve todo”, más expuestos estamos.

Sigue leyendo: