Un actor de amenazas estaría vendiendo una supuesta cadena de exploits de día cero de gravedad crítica dirigida a OpenSea por 100.000 USD en Bitcoin o Monero. La publicación afirma que la vulnerabilidad sigue sin parchear y no ha sido revelada, lo que ha generado alarma en la comunidad de NFT. El exploit supuestamente aprovecha fallos en la lógica de validación de órdenes del protocolo Seaport de OpenSea en Ethereum Mainnet, Polygon y Blast 

Un actor de amenazas está vendiendo supuestamente una cadena de exploits de día cero de gravedad crítica dirigida a OpenSea por 100.000 USD en Bitcoin o Monero. El anuncio afirma que la vulnerabilidad sigue sin parchear y no ha sido revelada, lo que ha generado alarma en la comunidad de NFT.

El exploit supuestamente ataca fallos en la lógica de validación de órdenes del protocolo Seaport de OpenSea en las redes Ethereum Mainnet, Polygon y Blast.

Permite a los atacantes transferir NFTs de alto valor por cero ETH, evitando las aprobaciones de listados y funcionando tanto en listados activos como inactivos mediante la maleabilidad de firmas y ataques entre colecciones.

El vendedor proporciona código de prueba de concepto y una demostración en vivo tras el pago, presentándolo como una cadena completa capaz de drenar activos al instante sin interacción del usuario.

Dark Web Informer detectó por primera vez el anuncio en foros de hacking clandestinos, donde el actor lo promociona como un día cero fresco sin exploits públicos previos conocidos.

No se han registrado robos coincidentes en la cadena de bloques, y OpenSea no ha emitido declaraciones ni parches hasta el 14 de febrero de 2026. Los escépticos destacan lo extraño de venderlo por 100.000 USD cuando su explotación directa podría generar millones en NFTs como Bored Ape Yacht Club, lo que sugiere que podría ser una estafa o una exageración.

Los titulares de NFTs deberían revocar inmediatamente todas las aprobaciones de OpenSea usando herramientas como Revoke.cash para bloquear transferencias no autorizadas. Supervisa de cerca los listados en busca de anomalías y evita interactuar con contratos sospechosos en las cadenas afectadas.

Aunque errores anteriores de OpenSea, como los vacíos de listado de 2022 explotados para robar NFTs por valor de 1 millón de USD, se parchearon rápidamente, esta amenaza no verificada subraya los riesgos continuos en las plataformas DeFi de NFT.

Este incidente recuerda a ventas históricas de exploits, pero carece de indicadores de compromiso (IOCs) como nombres de actores o URLs de foros en informes públicos. Las empresas de ciberseguridad instan a mantener la vigilancia ante el aumento de días cero dirigidos a NFTs.

Los usuarios de OpenSea representan un grupo de alto valor para estos actores, y la adopción generalizada de Seaport amplifica el posible impacto.