Celah pada marketplace OpenSea menyebabkan seorang pengguna bisa membeli NFT Bored Ape Yacht Club (BAYC) seharga puluhan ribu dolar lebih murah dari harga dasar (floor price) koleksi tersebut.
Pada Senin (24/1/2022), pemilik NFT BAYC #9991 bernama Tballer terperanjat ketika mengetahui NFT BAYC miliknya terjual dengan harga hanya 0,77 ETH setara US$1.700. Padahal floor price BAYC saat ini adalah 86 ETH atau sekitar US$200 ribu.
I just lost an ape guys…. I’m crying…. How did this just happen????😢😢😢😢😢😢😢😢😢😢😢😢😢😢😢
— TBALLER.eth (@T_BALLER6) January 24, 2022
Diketahui sang pembeli adalah “jpegdegenlove” turut meraup NFT lainnya, yakni BAYC #8924 dengan harga 6,66 ETH setara US$14.700 dan #8274 seharga 23 ETH setara US$50.800.
Tidak hanya itu, ia juga merebut dua NFT Mutant Ape (MAYC), Cool Cats dan CyberKongz. Total cuan yang ia raih mencapai sekitar 332 ETH atau US$733.500 memakai celah tersebut.
Etherscan menandai akun jpegdegenlove sebagai Pembeli Oportunis OpenSea.
Koleksi BAYC merupakan kedua terbesar di OpenSea dengan volume perdagangan mencapai lebih dari 338 ribu ETH. BAYC kian naik daun pada tahun 2021 dan menjadi sama tenarnya dengan NFT CryptoPunks yang dihargai sangat tinggi.
Dua BAYC yang terbeli melalui celah itu kini berada dalam akun OpenSea yang dikabarkan dimiliki oleh seseorang bernama Juan Fdez, seharga 84,2 ETH dari “jpegdegenlove” . Fdez menolak memberikan komentar soal hal ini, dilansir dari Decrypt.
Sejumlah pemilik BAYC berkumpul di Twitter Space setelah peristiwa tersebut terjadi demi mencari solusi.
Setelah membahas mekanisme listing OpenSea, tampaknya beberapa pemilik seperti Tballer tidak membayar biaya transaksi Ethereum untuk mencabut listing secara total. Mereka justru memilih untuk memakai fitur transfer.
Jika pemilik NFT mentransfer NFT dari dompet utama ke dompet sekunder dan kembali ke utama, pemilik itu dapat mencabut listing dari OpenSea. Tetapi metode transfer ini tidak membatalkan listing yang terdaftar pada blockchain dan sistem internal OpenSea, sehingga rentan terhadap eksploitasi.
Perihal ini sudah ditegaskan OpenSea di laman ini, termasuk cara yang benar untuk me-delisting item NF yang ditawarkan di masa lampau.
Menurut Hugo Morosini, Kepala Teknis perusahaan Ledger lewat Twitter memastikan, bahwa Tballer tidak menggunakan cara yang tepat untuk me-delisting NFT-nya. Yang dilakukan Tballer hanya menghilangkan laman NFT itu di front-end situs OpenSea, tetapi tidak di bagian back-end situs.
Jadi, listing offer oleh Tballer di harga 0,77 ETH pada 9 bulan lalu masih tersedia kepada publik untuk dibeli, dalam hal ini bisa dilihat di OpenSea juga atau lewat Rarible.
“Nah, jika Anda ingat membuat sell order yang tidak kedaluwarsa di OpenSea dan kemudian mentransfer NFT Anda ke akun lain tanpa membatalkannya, jangan pernah mentransfernya kembali ke akun awal,” tegasnya.
Menurut perusahaan pengkaji kripto, Elliptic, sejak Senin pagi NFT dengan total nilai pasar lebih dari US$1 juta itu telah dibeli dengan memanfaat ‘cacat sistem’ oleh setidaknya tiga pelaku.
“Satu penyerang membayar total US$133.000 untuk tujuh NFT dengan mengeksploitasi kelemahan ini—sebelum dengan cepat menjualnya seharga US$934.000,” sebut Elliptic dalam sebuah catatan khusus.
So, are you vulnerable ? Well, if you remember creating a non-expiring sell order and then transferring your NFT to another account without invalidating it (typically after you bought a hardware wallet), I have bad news ! Don't ever transfer it back to the initial account.
— Hugo Morosini (@TheRealMorrow) January 24, 2022
Morosini juga menyampaikan sejumlah skenario mengapa pelaku bisa melakukan ini. Pertama, bisa jadi ada pelanggaran keamanan di API OpenSea/Rarible. Dan kedua,
pelaku memiliki bot sederhana yang menyimpan setiap penawaran yang pernah diposting di OpenSea, secara real time.
Situs orders.rarible.com memberikan solusi dengan cara membantu pemilik NFT melihat semua listing saat ini di Rarible atau OpenSea. Pengguna dapat membayar gas fee untuk membatalkan listing usang demi mengeliminasi celah NFT tersebut dibeli dengan harga lama.
Alat Rarible itu diluncurkan pada awal bulan demi memerangi peristiwa serupa. Pegiat NFT memperingatkan komunitas kripto betapa pentingnya alat pembatalan listing Rarible tersebut.
Morosini menambahkan bahwa OpenSea diam-diam menambahkan fitur baru untuk menjawab persoalan listing usang. Pemilik NFT kini dapat melihat listing aktif dan non-aktif.
Solusi ini menjadi cara bagi pengguna OpenSea untuk memeriksa dan mencabut listing yang belum dibatalkan. Tetapi bagi para korban yang sudah mengalami kerugian, tidak ada solusi yang tersedia.
Hingga artikel diterbitkan, belum ada respons dari pihak OpenSea. [ed]
