Svindlere udfisker millioner af dollars i NFT'er fra OpenSea-brugere
For et par dage siden offentliggjorde sikkerhedsforskere med Check Point et blogindlæg, der beskriver et phishing-angreb, der var rettet mod OpenSea-brugere og førte til, hvad forskere vurderer som "millioner" i stjålne NFT'er.
OpenSea annoncerer sig selv som den "største NFT-markedsplads", der tilbyder en P2P-markedsplads til udveksling af ikke-fungible tokens eller NFT'er. Platformen gennemgik en opdateringsproces, der krævede kontraktmigrering. Målet med dette var at tage sig af inaktive lister over gamle tokens, hvilket igen kræver, at brugerne handler, så deres kontrakter kan opgraderes.
Phishing til NFT'er
OpenSea-teamet sendte en detaljeret vejledning ud til brugerne, der forklarer, hvordan de præcist skal håndtere proceduren og migrere deres NFT-lister. En trusselskuespiller fik dog nys om dette og besluttede at misbruge situationen.
Svindlerne udsendte phishing-e-mails, behandlet til at ligne den officielle korrespondance udsendt af OpenSea. Brødteksten i meddelelsen kopierer den originale tekst, der bruges af de legitime OpenSea-beskeder. Svindlerne linker dog til en phishing-side i stedet for. På den side bliver offeret opfordret til at underskrive en transaktionsformular, der igen er skræddersyet og behandlet til at se næsten nøjagtig ud som den officielle OpenSea. Svindlersiden instruerer dog brugerne i at tilslutte deres hovedbogsenhed, vælge Ethereum-appen og derefter aktivere "smarte kontraktdata" og "blind signering". Denne tekst mangler i den originale meddelelse fra NFT-platformen.
Når offeret har underskrevet den tilbudte transaktion, sender de en anmodning til angriberens kontrakt, som er blevet oprettet omkring en måned før phishing-angrebet. Selve anmodningen kaldes atomicMatch_ og bruges i handler på NFT-platformen. Check Point forklarede, at "atomic" henviser til, at transaktionen kun vil blive gennemført, hvis alle parametre er opfyldt.
Den konto, der blev brugt til at stjæle NFT'erne, ser ud til at have boblet med nye 2 millioner dollars stjålne og videresolgte NFT'er, ifølge forskerholdet.
Rush for ikke-fungible stoffer
NFT'er er blevet et meget varmt emne i de seneste måneder, til det punkt, hvor ikke kun indholdsskabere og brands er interesserede i dem, men selv store underholdnings- og spilvirksomheder er begyndt at køre hårdt hen imod at implementere dem på en regelmæssig basis. Emnet er kontroversielt, og mens mange krypto-fans omfavner NFT'er, mener mange andre, at NFT'er i bund og grund er en meget kompliceret måde at overbevise folk om at skille sig af med deres penge.
Denne seneste ulykke viser kun, at i lighed med kryptomarkedspladser og -børser, vil NFT-markedspladser også være målrettet af trusselsaktører og vil dukke op i nyhederne, da jo mere denne slags infrastruktur og brugerbase vokser, jo større er angrebsfladen. vil også være tilgængelig for trusselsaktører.
