OpenSea é acusado de negligência após usuário sofrer ataque de phishing com prejuízo de cerca de US$ 500 mil
OpenSea tem um problema de segurança e fraude e se a acusação feita por um titular de conta do principal mercado de NFTs for confirmada, a empresa pode ser considerada negligente na proteção de seus clientes e responsabilizada por extorsão.
Como o cofundador dos NFTs Moonbirds, CEO do Proof Collectiveo e capitalista de risco Kevin Rose sem dúvida atestaria, o roubo no mercado de tokens não-fungíveis (NFT) é um problema sério. Rose perdeu uma parte de sua coleção pessoal avaliada em US$ 1,1 milhão em um recente ataque de phishing – em um caso que não teve relação com o OpenSea.
Robert Acres também foi vítima de um ataque de phishing em NFT. Não tão importante usuário do OpenSea como Rose, Acres teve dois NFTs roubados.
Phishing é um método de fraude no qual pessoas são enganadas a levadas a compartilhar senhas, números de cartão de crédito e outras informações sensíveis, normalmente ao fazer-se passar por uma instituição de confiança em uma mensagem de e-mail ou chamada telefônica.
Acres alega que, longe de tentar prontamente ajudá-lo a recuperar sua propriedade e impedir a revenda pelos ladrões, como teria feito com Rose, o principal mercado de NFT acabou bloqueando Acres, deixando-o sem acesso à sua conta por mais de três meses.
Durante esse tempo, Acres alega ter sofrido grandes perdas com os 58 NFTs em sua conta porque não pôde negociá-los.
OpenSea bloqueou a conta do usuário vítima de phishing e agora sofre processo
Os dois NFTs agora na lista negra e roubados podem ser vistos listados no OpenSea, com um aviso de que os itens não podem ser comprados ou vendidos devido a atividades suspeitas:
https://opensea.io/assets/ethereum/0xd2f668a8461d6761115daf8aeb3cdf5f40c532c6/2299
https://opensea.io/assets/ethereum/0x4db1f25d3d98600140dfc18deb7515be5bd293af/5297
Os NFTs roubados de Robert Acres foram vendidos por 0,5 e 0,7 WETH.
Entretanto, Acres estima sua perda resultante de não poder comercializar seus NFTs remanescentes no OpenSea em até US$ 500 mil. Agora ele está processando o mercado de NFT Ozone Networks Inc (OpenSea é o nome comercial da empresa) e quer compensação por essas perdas.
O investidor contratou os serviços da Traverse Legal, com o sócio-gerente e advogado especializado em blockchain e web3 Enrico Schaefer a chefiar a equipe.
O usuário do OpenSea diz que foi excluído de sua conta depois de reclamar
Acres alega que, quando reclamou da lentidão da resposta do OpenSea ao roubo, foi então que o mercado o bloqueou negando-o acesso a sua própria conta.
De acordo com a comunicação de suporte do OpenSea, datada de 12 de julho de 2021, dia do roubo, Acres informou à empresa sobre a fraude antes da venda dos NFTs roubados no mercado.
O hash da transação do roubo é mostrado no etherscan e timestamped às 13:38 UTC: https://etherscan.io/tx/0xa6bc538181d79b342cd69042eac74b9a64a1aeb99ed05d98d3f5c09a6f7bf59d
A venda foi realizada uma hora depois às 14:38 UTC: https://etherscan.io/tx/0xd2327c65e66d0ac94282580f0a8d64d1cd155faa53d7613565d55c6ed9862b25
O e-mail relatando o roubo enviado ao suporte do OpenSea é carimbado às 14:11 UTC. Os hashes tx mostram que houve meia hora entre o OpenSea ser alertado sobre o roubo e a venda subsequente no mercado.
É possível argumentar que a janela de meia hora não deu à equipe do OpenSea muito tempo para reagir, mas se isto fosse financiamento antigo, onde sistemas de vigilância automatizados estão em operação, processos estariam em vigor para suspender rapidamente as atividades suspeitas.
Mas, dada a falta de ação para impedir a revenda, poderia ser razoável concluir que o mercado OpenSea não parece ter tido sistemas suficientemente robustos para responder a tais alertas dos usuários de forma oportuna.
Resposta inicial do OpenSea não explica bloqueio de conta
Em parte, em sua única declaração pública feita sobre o assunto até o momento, um porta-voz do OpenSea afirmou:
“O roubo em questão ocorreu fora do OpenSea e os itens foram vendidos antes que o OpenSea tomasse conhecimento do roubo relatado. Logo depois que fomos notificados e tomamos conhecimento, desativamos os itens e a conta do usuário foi desbloqueada.”
A primeira frase do comunicado é correta – foi um ataque de phishing que não teve nada a ver com a empresa OpenSea. Mas, se Robert Acres estiver correto, o resto desse trecho da declaração está errado. A equipe de OpenSea, como mostrado pela troca de mensagens, foi informada do roubo antes da venda.
Segundo os advogados de Robert Acres, a segunda frase da mensagem também é incorreta, já que a conta do usuário não foi desbloqueada logo após os dois NFTs terem sido desativados. A conta de Acres permaneceu bloqueada por três meses e meio – o que parece completamente inexplicável.
De fato, parece que foi quando Acres se opôs à falha da equipe de OpenSea em impedir a venda dos NFTs roubados que sua conta foi bloqueada.
Em um e-mail para o redator de Cryptonews.com Gary McFarlane, Acres relatou:
“Frustrado e acreditando que OS (OpenSea) tinha alguma responsabilidade pelo que havia ocorrido, notei que OS deveria ser responsável por danos monetários. Em resposta, o sistema operacional bloqueou minha conta sem aviso, solicitação ou permissão.”
Acres continua: “OS exigiu que eu prometesse sob juramento que minha carteira não foi comprometida (o que significa que OS não seria responsável)”.
De acordo com a conta de Acres, quando ele se recusou a cumprir com as supostas exigências do OpenSea, ele foi bloqueado perdendo acesso à sua conta. Robert Acres alega ainda que a empresa, como resultado do bloqueio, o impediu de negociar seus 58 NFTs no mercado OpenSea.
O usuário do OpenSea alega que o mercado NFT “pode confiscar seus ativos”
Acres escreve em seu e-mail para Cryptonews.com:
“OS representa que os NFTs de seus usuários não estão sob a custódia da OpenSea. No entanto, a maioria dos membros do OpenSea desconhece que o sistema operacional pode apreender seus ativos NFT e impedir que você movimente ou negocie seus NFTs por dias, semanas, meses ou presumivelmente para sempre, mesmo que você não tenha feito nada de errado.”
A página do centro de ajuda do OpenSea diz claramente o contrário:
“Embora possamos impedir que seus itens sejam comprados ou vendidos usando os serviços do OpenSea, seus itens permanecem na blockchain e não estão sob a custódia do OpenSea.”
O mercado OpenSea não seria, obviamente, capaz de impedir que um usuário da plataforma negociasse seus NFTs em um mercado concorrente. Isso significa que pode não ser o caso que, a rigor, o OpenSea “possa apreender seus NFTs”, como alega Acres.
Entretanto, na prática, a maior parte da liquidez disponível no mercado NFT encontra-se no OpenSea. Este seria um exemplo prático das limitações causadas pela descentralização cripto, em oposição a seus resultados teóricos pretendidos.
Em relação à acusação contra o OpenSea em relação ao bloqueio na conta, Acres disse à Cryptonews:
“Uma vez que sua carteira esteja ‘bloqueada’, todos os itens em sua carteira são marcados como suspeitos e, portanto, não importa para qual carteira eles sejam transferidos, nunca poderão negociar no OpenSea até que removam a bandeira da sua conta.”
“Atualmente, o OpenSea comanda mais de 60% de todo o volume de transações de NFTs e quando este incidente aconteceu era muito maior. O volume de negociação restante sendo dividido pelos concorrentes significa que você não é capaz de obter os preços mais competitivos e, assim, mais uma vez, se acumulam as perdas financeiras por um bloqueio feito à minha conta contra minha vontade.”
“A maioria das pessoas que negociam em qualquer mercado concorrente de SO muitas vezes acaba usando SO como mercado de revenda depois de comprar em um mercado concorrente. Portanto, novamente, neste caso, todos os meus NFTs carregariam esta etiqueta ‘suspeita’ quando mostrados no [mercado] de SO. O novo comprador também não pode vendê-los e, portanto, quando eles estão fazendo sua devida diligência durante o processo de compra, não os comprariam já que as opções de revenda seriam limitadas.”
Como essa linha de argumentação pode ser apresentada em um tribunal?
OpenSea é acusado de tentativa de extorsão. Cryptonews levou a questão em relação ao reclamante ser livre para negociar seus NFTs em outro lugar ao advogado de Robert Acres, Enrico Schaefer, sócio-gerente da Traverse Legal. Esta foi sua resposta:
“OpenSea adquiriu os ativos do Sr. Acres assumindo o controle de sua conta, o que constitui o delito de conversão [fala o advogado para uma forma de roubo]. Isto dá aos indivíduos que são vítimas de roubo o direito de tomar medidas legais para recuperar seus danos. Em essência, a conversão proporciona a um indivíduo a possibilidade de entrar com uma ação judicial para obter compensação da conversão sobre seus bens. A conversão ocorre quando uma pessoa, com a intenção e sem a devida autorização, assume o controle da propriedade ou dos fundos de outra pessoa, limitando assim sua capacidade de acesso a ela.”
“O controle não precisa ser exclusivo. A falta de resposta do OpenSea e a tentativa de extorsão para desbloquear a conta deve ter sido uma surpresa e um motivo de preocupação, como seria para qualquer pessoa em situação semelhante.”
Por que OpenSea não respondeu de forma oportuna uma vez alertado sobre o roubo dos NFTs?
Além disso, a Traverse Legal em nome de Robert Acres alega que o OpenSea teve três horas para agir antes da venda dos NFTs roubados em sua plataforma.
“Se o OpenSea não tivesse esperado mais de três horas para se envolver ativamente, o NFT poderia ter sido bloqueado e potencialmente devolvido à sua carteira”, escreve a Traverse Legal.
De fato, o lapso de tempo entre ser alertado sobre o roubo e a posterior venda dos ativos foi apenas meia hora, de acordo com a análise da equipe de Cryptonews.
No entanto, depois de todos os problemas bem documentados no site enfrentados por seus usuários, desde o abuso de informação privilegiada até o roubo, o OpenSea certamente já deveria ter implementado sistemas e processos, automatizados e humanos, para imediatamente interromper atividades suspeitas quando sinalizado.
Mesmo deixando os timings de lado, certamente OpenSea seria capaz de se defender com base no fato de que Acres teria sido livre para negociar seus 58 NFTs listados no OpenSea em outro local?
“Este assunto é melhor dirigido a Robbie, que experimentou a situação em primeira mão”, escreveu Schaefer em um e-mail para Gary McFarlane, de Cryptonews.
Schaefer continuou: “Entretanto, eu já representei clientes que enfrentam problemas semelhantes”. A afirmação de que “uma plataforma menor com menos compradores e vendedores” poderia ter sido utilizada em seu lugar não é uma desculpa válida para a equipe de OpenSea se eximir de suas responsabilidades com os membros de sua plataforma.
“OpenSea é a plataforma preferida por indivíduos que buscam maximizar a demanda e a pressão de preços no mercado. O uso de uma plataforma com um volume de vendas significativamente menor teria resultado em uma venda de liquidação em vez de uma atividade comercial substancial.”
Três perguntas para OpenSea que permanecem sem resposta
O que OpenSea tem a dizer sobre tudo isso, além de sua declaração inicial compartilhada com os meios de comunicação?
Enviamos à equipe do mercado OpenSea as seguintes perguntas:
- Por que o Sr. Acres foi excluído de sua conta contra sua vontade?
- Por que o Sr. Acres foi obrigado a se perjurar, como é alegado, a fim de desbloquear sua conta?
- O Sr. Acres receberá uma compensação por perdas alegadamente incorridas no tempo em que ele não pôde acessar sua conta?
Uma semana depois e ainda não temos as respostas.
Parece irônico que um mercado que comercializa produtos baseados em uma tecnologia cujo valor de uso é fundamentado em sua capacidade de atribuir com segurança identidades únicas a bens digitais e não digitais e outros bens não seja capaz de impedir a proliferação de listas fraudulentas e a venda dos referidos bens roubados.
OpenSea coloca a acumulação de receitas acima dos interesses de seus usuários?
Nós demos a palavra final à Acres. Por telefone, em uma conversa na qual ele concordou que o tempo correto é de meia hora no que diz respeito à denúncia do roubo e da venda dos bens roubados, Robert Acres insistiu: “A parte principal [de sua denúncia] é o fato de que eles bloquearam minha conta por três meses e meio e me pediram para me perjurar.”
“Entendo completamente que se trata de um esquema de phishing e que agir dentro de 45 minutos a uma hora de eu mesmo ser notificado e depois notificar o OpenSea – e que meia hora em termos de eu notificá-los que foi roubado e esperar que eles pudessem tomar algum tipo de ação – é muito apertado. Mas tudo o que se segue a essa transação é negligência.”
Leia mais:
- Qual o melhor curso de criptomoedas? Veja 10 opções
- Governo chinês visa o futuro do Blockchain com novo centro – Aqui está o que você precisa saber
- Prestes a entrar na fase 2 da pré-venda, C+Charge soma mais de US$ 1 mi arrecadados
