El mercado NFT OpenSea compartió hoy que es víctima de otra violación de datos, aunque esta vez el objetivo es uno de sus proveedores. Un empleado de su proveedor de entrega de correo electrónico, Customer.io, supuestamente descargó y compartió direcciones de correo electrónico almacenadas asociadas con cuentas de OpenSea y suscripciones a boletines informativos con un tercero desconocido. Cualquier titular de cuenta de OpenSea o suscriptor del boletín debe asumir que su dirección de correo electrónico estaba entre los afectados, según una publicación de blog del jefe de seguridad de la compañía, Cory Hardman. En este momento no aparece ninguna contraseña u otra información personal fue robada.
La compañía está trabajando con Customer.io para investigar el asunto. “Por favor, manténgase atento a sus prácticas de correo electrónico y esté alerta a cualquier intento de hacerse pasar por OpenSea por correo electrónico”, escribió Hardman.
A diferencia de un ataque de phishing anterior en OpenSea en febrero que resultó en el robo de cientos de NFT, parece que no hay más daños reportados más allá de las direcciones de correo electrónico filtradas. Aún así, el número de personas probablemente afectadas por la violación es significativo. Hackread señaló que 1.8 millones de usuarios realizaron compras a través de la red Ethereum en OpenSea, según datos de Dune Analytics.
Ayer, la compañía envió correos electrónicos a los usuarios de OpenSea que sospechaban que estaban involucrados, advirtiéndoles que estuvieran atentos a los correos electrónicos de phishing y otras estafas. Más allá de los consejos estándar, como no descargar archivos adjuntos o hacer clic en un enlace de un correo electrónico de OpenSea, también se advirtió a los usuarios que no firmaran transacciones de billetera directamente desde un correo electrónico o que compartieran o confirmaran frases secretas de billetera.
La identidad del tercero que recibió las direcciones de correo electrónico violadas no ha sido revelada. Un representante de Customer.io le dijo a TechCrunch que el empleado detrás de la violación tenía acceso “específico del rol” a los datos de OpenSea de los que abusaron. “No creemos que los datos de ningún otro cliente se hayan visto comprometidos, pero continuamos investigando. Al empleado en cuestión se le ha eliminado todo el acceso y ha sido suspendido a la espera de la conclusión de nuestra investigación”.
