Fuite de données chez OpenSea, des adresses email d’utilisateurs dans la nature

OpenSea victime d'un vol de données. Les emails de ses utilisateurs en fuite.

Le marketplace NFT OpenSea annonce avoir été victime d’une nouvelle intrusion, bien que, cette fois, la cible soit l’un de ses partenaires. Un employé de son système d’envoi d’email, Customer.io, aurait téléchargé et partagé les adresses emails stockées associées aux comptes OpenSea et aux abonnements à la newsletter avec une tierce partie inconnue.

OpenSea victime d’un vol de données

Celles et ceux qui ont un compte OpenSea et/ou sont abonnés à la newsletter devraient partir du principe que leur adresse email est désormais compromise, comme l’indique un post de blog publié par le directeur de la sécurité de l’entreprise Cory Hardman. À l’heure d’écrire ces lignes, il ne semble pas que les mots de passe ou de quelconques autres informations personnelles n’aient été volées.

L’entreprise travaille avec Customer.io pour mener l’enquête. « Restez vigilant quant à vos pratiques via email, et faites attention à toute tentative visant à imiter OpenSea par email », écrit notamment Cory Hardman.

Contrairement à une précédente attaque de phishing sur OpenSea en février dernier qui avait entraîné le vol de plusieurs centaines de NFT, il ne semble y avoir aucun dommage supplémentaire à cette fuite d’adresses email. Quoi qu’il en soit, le nombre de personnes impactées par cette intrusion est très important. Hackread rapportait que 1,8 million d’utilisateurs avaient effectué des achats via le réseau Ethereum sur OpenSea, selon les données de Dune Analytics.

Les emails de ses utilisateurs en fuite

Ces dernières heures, l’entreprise a envoyé des emails aux utilisateurs d’OpenSea qu’ils pensent être impactés, leur rappelant d’être particulièrement vigilants face à d’éventuels emails de phishing et autres arnaques. Outre les conseils standard de ne pas télécharger les pièces jointes ou cliquer sur un lien dans un email d’OpenSea, les utilisateurs ne doivent pas non plus signer la moindre transaction wallet directement depuis un email ni confirmer leur phrase secrète.

L’identité de la tierce partie qui a reçu les adresses email n’a pas été révélée. Un représentant de Customer.io a déclaré à TechCrunch qui l’employé derrière cette attaque avait un accès « spécifique » aux données OpenSea qu’il a dérobées. « Nous ne pensons pas que les données d’autres clients aient été compromises, mais nous poursuivons notre enquête. L’employé en question a vu tous ses accès être révoqués et est suspendu jusqu’à la conclusion de notre enquête. »