Quel est le risque de malware NFT ?

Principes fondamentaux des risques liés aux logiciels malveillants NFT

1. Le risque de malware NFT fait référence à l'exploitation d'une infrastructure de jetons non fongibles pour fournir des charges utiles malveillantes via des interactions d'actifs numériques apparemment légitimes.

2. Les attaquants intègrent du code exécutable ou des liens trompeurs dans les métadonnées NFT, qui sont stockées hors chaîne mais référencées en chaîne via les champs URI.

3. Lorsque les utilisateurs interagissent avec des NFT infectés, par exemple en les visualisant sur des marchés ou en les chargeant dans des dApps connectées à un portefeuille, leurs navigateurs ou applications peuvent exécuter des scripts malveillants sans consentement explicite.

4. Contrairement au phishing traditionnel, les logiciels malveillants basés sur NFT exploitent la confiance dans l'immuabilité de la blockchain et les plateformes décentralisées, réduisant ainsi la suspicion des utilisateurs lors de la navigation ou des échanges de routine.

5. La nature décentralisée des marchés NFT comme OpenSea signifie qu'il n'existe aucune couche de modération centralisée pour analyser ou filtrer les URI malveillants avant de les répertorier.

Vecteurs d’infection courants

1. Les passerelles IPFS malveillantes diffusent des versions falsifiées des actifs NFT, injectant du JavaScript qui détourne les connexions du portefeuille lors de la prévisualisation.

2. De fausses pages de frappe se faisant passer pour des projets NFT légitimes incitent les utilisateurs à connecter des portefeuilles et à signer des transactions contenant des appels de fonctions cachés.

3. Les contrats intelligents compromis utilisés pour la distribution de redevances ou les ventes secondaires contiennent des fonctions de secours qui déclenchent des appels de contrats externes vers des adresses malveillantes.

4. Les NFT basés sur SVG intègrent des balises de script auto-exécutables qui s'activent lorsqu'elles sont rendues par des analyseurs SVG vulnérables dans les extensions de navigateur ou les interfaces de portefeuille.

5. Les parachutages de phishing NFT distribuent des jetons avec des métadonnées pointant vers des domaines hébergeant des collecteurs d'informations d'identification déguisés en « portails de réclamation ».

Modèles d'exploitation au niveau du portefeuille

1. Les invites d'approbation de transaction sont manipulées à l'aide de l'usurpation de signature EIP-712 pour masquer les transferts non autorisés en tant qu'achats NFT légitimes.

2. Les sessions de connexion au portefeuille sont détournées en cours de transaction pour rediriger les approbations vers des contrats contrôlés par des attaquants contenant des NFT à solde nul conçus uniquement pour les déclencheurs de réentrée.

3. Les vulnérabilités du micrologiciel du portefeuille matériel permettent aux attaquants d'intercepter et de modifier les détails des transactions affichés lors de l'approbation des interactions contractuelles liées au NFT.

4. L'injection d'extensions de navigateur permet de modifier en temps réel les éléments DOM du marché NFT, en échangeant les boutons « Approuver » légitimes avec des variantes malveillantes liées à des contrats malveillants.

5. Les attaques par relecture de signature exploitent les valeurs occasionnelles réutilisées dans les signatures d'approbation NFT, permettant aux attaquants de soumettre à nouveau des autorisations signées dans différentes chaînes ou contextes.

Techniques de manipulation des métadonnées

1. Les fichiers de métadonnées JSON hébergés sur des CDN compromis renvoient un contenu modifié après la création initiale, remplaçant les URI d'image par des iframes malveillants.

2. Les attributs codés en base64 dans les métadonnées NFT sont décodés en JavaScript obscurci qui s'exécute lors de l'analyse par les visualiseurs NFT côté client.

3. Les contrats de métadonnées dynamiques récupèrent le contenu distant au moment du rendu, permettant aux attaquants de changer de charge utile après la création sans modifier l'état de la chaîne.

4. L'injection SVG-dans-JSON place les chaînes SVG mal formées dans les champs de métadonnées, déclenchant une corruption de la mémoire au niveau de l'analyseur dans certains SDK de portefeuille.

5. Les chaînes de redirection intégrées dans les URI de métadonnées conduisent les utilisateurs à travers plusieurs domaines avant d'atterrir sur les kits d'exploit finaux, évitant ainsi les outils d'analyse d'URL statiques.

Vulnérabilités spécifiques au marché

1. Le mécanisme de frappe paresseuse d'OpenSea permet des listes NFT non signées, permettant aux attaquants de publier des jetons malveillants sans coûts initiaux ni vérification.

2. L'interface d'enchères de Blur manque de nettoyage des entrées pour les commentaires sur les offres, ce qui permet aux charges utiles XSS qui persistent dans les vues d'enchères et infectent les tableaux de bord des enchérisseurs.

3. Le système de suivi des références de LooksRare accepte les URL arbitraires dans les paramètres de campagne, permettant aux attaquants d'injecter une logique de redirection dans les liens NFT partagés.

4. L'interface utilisateur du pont inter-chaînes de Rarible ne parvient pas à valider les identifiants de la chaîne de destination, permettant ainsi de faux aperçus de transactions qui imitent les monnaies inter-chaînes légitimes.

5. Le processus de vérification des créateurs de Foundation repose uniquement sur les étendues GitHub OAuth, permettant aux comptes de développeurs compromis de pousser les déploiements de contrats malveillants sous des profils vérifiés.

Foire aux questions

Q : Un NFT peut-il lui-même contenir du code exécutable ? Oui. Alors que les normes Ethereum comme ERC-721 ne permettent pas l'exécution de code en chaîne dans les données de jeton, les URI des métadonnées NFT pointent souvent vers des ressources externes, notamment des fichiers SVG, des documents HTML ou JSON avec des scripts intégrés, qui s'exécutent lorsqu'elles sont chargées par les clients.

Q : Les portefeuilles matériels protègent-ils contre les logiciels malveillants NFT ? Pas intrinsèquement. Les portefeuilles matériels vérifient les signatures des transactions mais ne peuvent pas inspecter le comportement des métadonnées hors chaîne. Si un utilisateur approuve une transaction en interagissant avec un contrat malveillant ou en affichant un aperçu NFT compromis, le périphérique matériel signera comme indiqué sans détecter l'exécution du script en aval.

Q : Les métadonnées stockées en chaîne sont-elles insensibles à la falsification ? Non. La plupart des NFT stockent uniquement un hachage ou un pointeur URI sur la chaîne. Les métadonnées réelles résident hors chaîne et peuvent être modifiées par quiconque contrôle le service d'hébergement, qu'il s'agisse de serveurs centralisés, de nœuds IPFS compromis ou de passerelles malveillantes.

Q : Comment les attaquants profitent-ils des logiciels malveillants NFT ? Le vol direct de fonds de portefeuille, le transfert non autorisé de NFT de grande valeur, le déploiement de ransomware ciblant les collections NFT et la collecte d'informations d'identification pour les rachats ultérieurs de comptes d'échange sont les principales voies de monétisation.