Fuite de données OpenSea, adresses e-mail des utilisateurs dans la nature

OpenSea est victime de vol de données. E-mails d’utilisateurs divulgués.

La place de marché NFT OpenSea annonce avoir été victime d’une nouvelle invasion, bien que cette fois la cible soit l’un de ses partenaires. Un employé de son système de livraison d’e-mails Customer.io aurait téléchargé et partagé des adresses e-mail enregistrées associées à des comptes OpenSea et des abonnements à la newsletter à un tiers inconnu.

Victime de vol de données OpenSea

Ceux qui ont un compte OpenSea et/ou un abonnement à la newsletter doivent supposer que leur adresse e-mail a maintenant été compromise, comme indiqué dans un article de blog du directeur de la sécurité d’entreprise Corey Hardman. Au moment d’écrire ces lignes, il ne semble pas que les mots de passe ou toute autre information personnelle aient été volés.

La société travaille avec Customer.io pour mener une enquête. « Restez vigilant sur vos pratiques de messagerie et méfiez-vous de toute tentative d’imitation d’OpenSea via la messagerie », écrit notamment Corey Hardman.

Contrairement à la précédente attaque de phishing d’OpenSea en février dernier, qui s’était soldée par le vol de plusieurs centaines de NFT, cette fuite d’adresse e-mail semble n’avoir causé aucun autre dommage. En tout cas, le nombre de personnes touchées par cette invasion est très important. Hackread a rapporté que 1,8 million d’utilisateurs ont effectué des achats via le réseau Ethereum sur OpenSea, selon Dune Analytics.

E-mails d’utilisateurs divulgués

Ces dernières heures, la société a envoyé des e-mails aux utilisateurs d’OpenSea qui, selon eux, pourraient être affectés, leur rappelant d’être très vigilants face aux éventuels e-mails de phishing et autres escroqueries. Outre le conseil standard de ne pas télécharger de pièces jointes ou de suivre un lien dans un e-mail d’OpenSea, les utilisateurs ne doivent pas non plus signer de transactions de portefeuille directement à partir de l’e-mail ou confirmer leur phrase secrète.

L’identité du tiers qui a reçu les adresses e-mail n’est pas divulguée. Un représentant de Customer.io a déclaré à TechCrunch que l’employé à l’origine de l’attaque avait un accès « spécial » aux données OpenSea qu’il avait volées. « Nous ne pensons pas qu’aucune autre donnée client n’ait été compromise, mais nous continuons à enquêter. L’employé en question s’est vu retirer tout accès et a été suspendu en attendant la fin de notre enquête.