Exploit se vendía como un NFT en mercado de coleccionables sobre Ethereum

El CEO y Co-fundador de Hacker House, Matthew Hickey, intentó vender una brecha de ciberseguridad (exploit) como un NFT, a través de la plataforma de mercado de coleccionables criptográficos, OpenSea. Un día después de su lanzamiento, la plataforma eliminó el proyecto, sin previo aviso.

El primer token ofrecido, denominado zero-day, y creado por Hickey para su proyecto de NFT, Zero Day Collection, fue anunciado a través de Twitter como «una obra de arte hacker altamente coleccionable». El token, si bien parecía inofensivo y estaba pensado para el videojuego de 1999, Quake 3, disparó preguntas sobre la ética de vender este tipo de NFT debido al uso negativo que podrían darle los compradores.

El NFT, según un artículo de CoinDesk, había sido anunciado en la plataforma de OpenSea como:

Vulnerabilidad de corrupción de memoria posterior a la autenticación en el motor ioquake3. El problema puede ser reproducido para causar una condición de denegación de servicio, la ejecución del código se ha considerado poco probable. Este problema ha sido probado en OpenArena [videojuego], pero puede estar presente en los 28 juegos que usan ingeniería idTech3 (ioquake3).

Matthew Hickey, CEO y co-fundador de Hacker House.

¿Censura o ilegalidad?

El 9 de marzo, OpenSea eliminó la subasta del NFT de Hickey, alegando que el coleccionable podría desencadenar problemas en los servicios del videojuego. OpenSea expresó que la venta de este NFT había sido única y que no se revendería dentro de la plataforma.

Hickey tildó la eliminación de su NFT como censura a un creador de contenido, y sugirió no usar OpenSea, a través del siguiente tweet :

@OpenSea eliminó mi venta de brecha [exploit] de su plataforma, yo configuré un token NFT y ellos arbitrariamente decidieron quitar mi token sin ni siquiera contactarme. Yo tengo todo el derecho de vender mi trabajo, ¿censurando muchos creadores de contenido? No usen #nft #opensea.

Matthew Hickey, CEO y co-fundador de Hacker House.

A pesar de que la brecha de seguridad es para un juego de 1999, y por lo tanto parece inofensiva, el poder vender este tipo de brechas a través de un NFT inició un debate sobre si esa acción era legal o no. Este tipo de exploit orientado a otro software podría, por ejemplo, facilitar el robo de datos privados o criptomonedas, como pudo haber pasado con el monedero Coldcard.

Hablan los abogados

Coindesk contactó con Stephen Palley y Preston Byrne, dos abogados del bufete Anderson Kill, para exponer las posturas del debate sobre la venta de este tipo de NFT.

Así, Palley expresó que si bien usar un NFT de brecha de ciberseguridad para entrar en el sistema informático de alguien en Estados Unidos, sería una violación a la Ley de Abuso y Fraude Informático, como tal, vender el NFT se trata más de una decisión ética. Y de hecho si la brecha se publicara sin remuneración, estaría protegida por la Primera Enmienda de la Constitución de Estados Unidos, que expone la libertad de religión y expresión sin que el gobierno intervenga.

Por su parte, Preston Byrne expresó que jugar con brechas de ciberseguridad puede ser peligroso sobre todo si se filtra data. Aunque no se puede comprobar, explica que sería problemático si se facilitara este tipo de NFT de forma intencional, con el fin de que se cometa un crimen. Byrne agregó que:

En un contexto de mercado descentralizado, también se debe considerar la probabilidad de que los adversarios estadounidenses compren una herramienta de este tipo en relación con los controles de exportación y las regulaciones de la Oficina de Control de Activos Extranjeros (OFAC).

Preston Byrne, Abogado del bufete Anderson Kill.

Hickey más que asustado está intrigado por ver cómo avanzan las ventas de los NFT y ve todo esto como una investigación que puede cambiar los modelos de distribución y venta de las brechas y las investigaciones de seguridad en general.