Пользователи, лишившиеся NFT Bored Ape, подали в суд на OpenSea

После многочисленных взломов и скамов, произошедших на NFT-платформе OpenSea в течение последнего года, компания столкнулась с тремя судебными исками от людей, которые потеряли доступ к своим NFT из коллекции Bored Ape Yacht Club (BAYC).

Тимми МакКимми из Техаса и Майкл Валис из Нью-Йорка утверждают, что потеряли NFT Bored Ape в результате взлома, в ходе которого была использована известная многим уязвимость системы безопасности в коде OpenSea. Другой пострадавший Роберт Армихо из Невады заявил, что потерял свои токены Bored Ape в результате атаки социальной инженерии, которая, по его словам, стала возможной из-за халатного отношения OpenSea к защите пользователей.

Тимми МакКимми и Майкл Валис потеряли свои токены в результате похожих взломов. Стоял ли за кражей их NFT один и тот же хакер, неизвестно.

Несмотря на то, что МакКимми не выставлял свой NFT на продажу, OpenSea требует от пользователя подключить кошелёк, чтобы люди могли видеть, какие NFT находятся на этом кошельке, и могли делать предложения по невыставленным на продажу NFT, — объяснил Эш Тадгиги, адвокат господина МакКимми.

Используя уязвимость в системе безопасности, хакер сделал заявку на продажу, взломал код и принял предложение от имени МакКимми. То есть он фактически продал NFT самому себе и в течение часа перепродал его другому пользователю.

Согласно общедоступным данным о транзакциях, хакер продал самому себе NFT за 0,01 ETH и затем продал другому пользователю за 99 ETH, после чего кошелёк, использовавшийся для совершения этих транзакций, исчез. Взлом произошёл примерно 7 февраля.

В судебных материалах МакКимми указал, что неоднократно связывался с OpenSea, надеясь вернуть свой актив или получить за него компенсацию. Пока, по его словам, он не получал никаких предложений, хотя OpenSea якобы сообщила ему, что «активно расследует» этот инцидент.

Тадгиги, который начал своё знакомство с криптографией и пространством NFT после того, как помог некоторым создателям контента разобраться с авторскими правами, сказал, что это дело «первое в своём роде. Подобных прецедентов ещё не было».

Как только это дело стало достоянием общественности, Тадгиги и его коллегу Эндрю Дао попросту завалили просьбами о юридической помощи в отношении утерянных активов.

В конце концов Тадгиги и Дао решили представлять интересы Майкла Валиса, который потерял NFT Bored Ape #8858 в результате взлома, который, как утверждают юристы, был осуществлён путём использования уязвимости в системе безопасности. Тогда, 26 января (до взлома МакКимми), хакер продал себе NFT Валиса за 24,89 ETH, а затем сразу же перепродал токен за 92,9 ETH.

Как Валис, так и МакКимми подали иск в суд за халатность, которая, по их словам, привела не только к утере ценных NFT, но и помешала им заработать на привилегиях владения NFT Bored Ape.

Недавно проект BAYC объявил о выпуске собственной валюты ApeCoin. Владельцы имели право потребовать данные монеты первыми, но МакКимми и Валис не смогли этого сделать, потому что их активы были украдены. Аргументация Тадгиги и Дао выстроена на том, что OpenSea продолжала работать, несмотря на то, что знала о нарушениях в безопасности, которые наносили вред пользователям, действующим согласно инструкциям самой OpenSea.

Случай Роберта Армихо совсем другой: он потерял NFT Bored Ape #4329 и два NFT Mutant Bored Ape #1819 и #7713 в результате взлома с применением социальной инженерии.

Примерно 1 февраля Армихо зашёл на Discord-сервер Cool Cats, в комнату чата, чтобы обсудить обмен одного из своих NFT Mutant Bored Ape на несколько NFT Cool Cat. На его запрос откликнулся пользователь, и они начали переписку на тему продажи своих активов.

Согласно судебным документам, Армихо предложил определённый веб-сайт, и пользователь отправил ему ссылку на него, утверждая, что он уже загрузил туда свои NFT. Всё, что нужно было сделать Армихо, это загрузить туда свои токены. Армихо перешёл по ссылке, но она оказалась мошеннической. Его кошелёк, содержащий два NFT Mutant Bored Ape и один NFT Bored Ape, а также некоторую сумму в криптовалюте, был опустошён.

Несмотря на то, что кража произошла не на платформе OpenSea, Армихо подозревал, что вор разместит украденные NFT на OpenSea, чтобы попытаться продать их как можно быстрее, написано в судебных материалах. В связи с этим Армихо попытался связаться с OpenSea, чтобы попросить заморозить его активы, когда те будут загружены на платформу, но он столкнулся с многочисленными препятствиями.

После публикации нескольких сообщений в Discord Армихо не получил ни одного ответа. Более того, он увидел сообщения от других пользователей OpenSea, которые жаловались на то, что подавали заявки несколько дней и даже недель назад, не получив за это время никакой обратной связи или помощи.

Когда этот критический период времени подошёл к концу, Армихо увидел, что его NFT Bored Ape был выставлен на продажу на OpenSea и продан, что произошло через два часа после взлома. Через четыре часа после взлома OpenSea ответила на запросы Армихо и заморозила другие его токены NFT Mutant Ape. Затем хакер разместил эти NFT на платформе LooksRare, где они почти сразу же были проданы. В результате, Армихо также судится и с LooksRare.

В жалобе приводится пример процесса одобрения, ранее применявшийся на OpenSea, в ходе которого платформа проверяла, что загруженныеNFT загружены непосредственно владельцами. Только потом они регистрировались на сайте. Процесс был прекращён в марте 2021 года, когда рынок NFT захлестнула волна популярности.

После исключения проверки случаи краж на платформе резко участились.