NFT’s – een walhalla voor cybercriminelen

NFT: waar hebben we het over?

Laten we beginnen met de basis. Wat is een NFT en wat betekent het precies? NFT staat voor Non Fungible Token. Heel leuk, maar dat maakt het niet echt duidelijk. De NFT is in 2014 bedacht en is een uniek digitaal of fysiek item met een unieke waarde. Dat wil zeggen dat het niet kan worden ingewisseld voor een ander item of eigendom met dezelfde waarde.

"Non Fungible" betekent dat iets "uniek is en niet door iets anders kan worden vervangen". Een bitcoin is bijvoorbeeld vervangbaar: je kunt hem inwisselen voor een andere bitcoin, en krijgt dan precies hetzelfde. Een unieke ruilkaart is daarentegen niet vervangbaar. Als je die inruilt voor een andere kaart, krijg je iets (heel) anders. En omdat het een eigen waarde met zich meedraagt, is die waarde afhankelijk van verschillende factoren.

Zo is een briefje van vijf euro vervangbaar, omdat het kan worden ingewisseld voor een ander briefje van vijf euro met dezelfde waarde. Dat is niet het geval met een NFT. De eerste tweet ooit, van Twitter-oprichter Jack Dorsey, is bijvoorbeeld een NFT en werd getaxeerd op ruim 2,4 miljoen euro.

NFT en cybercriminaliteit

Deze trend brengt nieuwe vormen van criminaliteit met zich mee. Valse websites, identiteitsdiefstal en phishing zijn allemaal technieken die door hackers worden gebruikt. Waarom zijn NFT's zo aantrekkelijk voor criminelen? Omdat het een eenvoudige en snelle manier is om geld te verdienen en vooral omdat dergelijke aanvallen weinig sporen nalaten.

Valse sites

Een veelgebruikte tactiek is het maken van nepsites die er precies uitzien als legitieme sites. Gebruikers loggen in en delen zonder dat zij er erg in hebben hun inloggegevens of creditcardnummer met criminelen.

Zo was de website van Fractal in december 2021 het slachtoffer van een aanval. De criminelen gebruikten een valse online NFT-advertentie. Nietsvermoedende slachtoffers zagen het als een koopje, klikten op de link en werden doorgestuurd naar een nep Fractal-account. In totaal trapten 373 mensen in de val, voor een totale schade van ongeveer 135.000 euro. Hoewel het aantal slachtoffers relatief meevalt, is het toch een reële dreiging.

Phishing-campagne

In juni 2021 kwam een phishing-campagne aan het licht, de RedLine infostealer-campagne. Cybercriminelen deden zich voor als bedrijven en benaderden vervolgens tal van artiesten om hen partnerschappen aan te bieden. Zodra de relatie tot stand was gebracht, werd een schadelijke link gedeeld die niet werd opgemerkt door antivirussoftware. De artiest FVCKRENDER was een van de slachtoffers en werd beroofd van 137.000 euro.

Exploit

Met alle tamtam rond NFT's is er de afgelopen maanden een ander, duister bijverschijnsel opgedoken: de verkoop van cybersecurity-exploits.

Zo worden tegenwoordig bijvoorbeeld zero-day denial-of-service-aanvallen verkocht, waarbij alle eigendomsrechten werden overgedragen aan de hoogste bieder. Hoewel dit onschuldig lijkt, roept het idee om een cyber-exploit te verkopen natuurlijk vragen op over ethiek en identiteit wanneer het in verkeerde handen terechtkomt. Dit maakt NFT's een ideale manier voor hackers om exploits en andere hacking-tools te kopen en verkopen.

Een van de meest spraakmakende voorbeelden van een exploit-aanval was de aanval die in augustus 2021 het Poly Network-platform trof, een bedrijf dat cryptovaluta overboekt via een gedecentraliseerd financieel platform (DeFi). Een doorgewinterde hacker slaagde erin om een kwetsbaarheid in de systemen van het platform uit te buiten en bijna 600 miljoen dollar te stelen. Het verhaal heeft opmerkelijk genoeg een happy end, want de hacker heeft bijna al het geld teruggegeven.

Aangezien deze nieuwe vorm van oplichterij nog vrij recent is, zijn er nog weinig beschermingsmaatregelen, dus laten we waakzaam zijn en enkele aanbevelingen bekijken.

Aanbevelingen

Zorg voor een goede beveiliging, daarom adviseer ik:

• Multifactorauthenticatie toe te passen.
• Tweets te tokeniseren.
• Wallets te beveiligen: koop een hardware wallet rechtstreeks via de site.
• Controleer het aantal abonnees van de persoon met wie je communiceert.
• Controleer links: zorg ervoor dat de site waar je de NFT koopt legitiem is.
• Wees alert als je contactpersoon geen sociale media gebruikt.
• Wees voorzichtig als het geboden bedrag voor een partnerschap niet logisch lijk.
• Wees sceptisch als er geen contract wordt opgesteld.

Uiteraard kan aan deze lange lijst nog educatie en bewustwording worden toegevoegd. Tot slot moet er een solide wettelijk kader komen dat is afgestemd op NFT's.

De toekomst van NFT’s

Web3 zal in het teken staan van NFT, of niet! De wereldwijde NFT-markt was vorig jaar goed voor 40 miljard dollar. Zelfs fabrikanten raken betrokken, zoals Samsung, dat aankondigde dat NFT's worden geïntegreerd in zijn nieuwe connected TV's.

De NFT-markt is een nieuw Eldorado voor cybercriminelen die hun kapitaal willen witwassen. Hoogstwaarschijnlijk zal het aantal aanvallen toenemen en daarmee ook het aantal mensen dat wordt afgeperst. Cybercriminelen zijn inventief en creatief. Bovendien wordt hun aanpak steeds diverser, complexer en geraffineerder. Twitter, Facebook, Telegram, Discord, etc. zijn de perfecte kanalen voor cybercriminelen.

Het is noodzakelijk om te anticiperen op deze nieuwe bedreigingen en de inzet en risico's te bepalen. Wachten heeft geen zin, we moeten in actie komen!

Elena Poincet, CEO van TEHTRIS