OpenSea relata violação de dados e alerta clientes sobre possíveis tentativas de phishing

OpenSea – uma das plataformas mais populares centradas em NFT – relatou uma violação de dados afetando as informações de identificação pessoal (PII) de clientes inscritos na lista de discussão da empresa.

Falha de segurança externa com falha

A violação não foi causada pela própria OpenSea, explicou a empresa. Em vez disso, foi devido a um funcionário do Customer.io, uma plataforma terceirizada contratada pela OpenSea para gerenciar as comunicações de mídia social.

Esta não é a primeira vez que as plataformas de Customer Relationship Management (CRMs) provaram ser uma brecha na armadura das plataformas de criptografia e NFT. Recentemente, em março, um CRM semelhante – Hubspot – foi responsável por uma violação de dados quase idêntica afetando Circle, Swan Bitcoin, BlockFi e NYDIG.

Espera-se um aumento nas tentativas de phishing

OpenSea oficialmente anunciou a violação em um post de blog publicado apenas algumas horas atrás. No comunicado, a empresa alertou os usuários que suspeita-se que a quantidade de dados roubados seja bastante grande, aconselhando-os a serem mais vigilantes.

No Twitter, os clientes da OpenSea já estão relatando e-mails suspeitos, telefonemas e mensagens direcionadas a eles, que se acredita estarem ocorrendo devido a informações roubadas pelo funcionário do Customer.io.

Minha informação foi violada graças ao OpenSea e Customer io? Senhor Jeebus me ajude. Eu estava me perguntando por que recebi tantos textos, telefonemas e e-mails com spam ultimamente. ?

— Metzilmazatl (Cervo da Lua)??️‍? (@TheAscendant3) 30 de Junho de 2022

O porta-voz da OpenSea também confirmou que a equipe já entrou em contato com as autoridades legais relevantes sobre a violação. Ao contrário de explorações recentes de plataformas relacionadas a blockchain, esse ataque é centrado nos dados do cliente – que, ao contrário dos tokens, são fortemente protegidos por governos em todo o mundo.

“Se você compartilhou seu e-mail com a OpenSea no passado, deve assumir que foi impactado. Estamos trabalhando com o Customer.io em sua investigação em andamento e relatamos esse incidente às autoridades. Por favor, fique atento às suas práticas de e-mail e esteja alerta para qualquer tentativa de se passar pela OpenSea por e-mail.”

A OpenSea já começou a enviar e-mails para endereços confirmados como afetados, explicando brevemente como ocorreu a violação e alertando os usuários para ficarem atentos.

Violação de dados OpenSea. pic.twitter.com/FEtDKsoHje

- eric.eth (@econoar) 30 de Junho de 2022

Várias práticas recomendadas anti-phishing também são abordadas no e-mail – juntamente com um lembrete de que opensea.io é o único domínio de site legítimo de propriedade da empresa. Um aviso para evitar o download de anexos também está incluído, reiterando que os e-mails do OpenSea não possuem anexos como regra geral.

Os hiperlinks também foram abordados – embora os e-mails do OpenSea possam incluir alguns, qualquer link solicitando que um usuário assine uma transação de carteira deve ser considerado fraudulento.

Para encerrar, a OpenSea promete atualizar os usuários sobre a situação sempre que possível e solicita que qualquer tentativa de phishing seja relatada à sua equipe de suporte.