Svindlere fisker ut millioner av dollar i NFT-er fra OpenSea-brukere
For et par dager siden publiserte sikkerhetsforskere med Check Point et blogginnlegg som beskriver et phishing-angrep som var rettet mot OpenSea-brukere og førte til det forskere anslår som «millioner» i stjålne NFT-er.
OpenSea annonserer seg selv som den "største NFT-markedsplassen", og tilbyr en P2P-markedsplass for utveksling av ikke-fungible tokens eller NFT-er. Plattformen gikk gjennom en oppdateringsprosess som krevde kontraktsmigrering. Målet med dette var å ta vare på inaktive oppføringer av gamle tokens, som igjen krever at brukerne tar grep slik at kontraktene deres kan oppgraderes.
Phishing for NFT-er
OpenSea-teamet sendte ut en detaljert veiledning til brukere som forklarer hvordan de skal håndtere prosedyren og migrere NFT-oppføringene sine. En trusselaktør fikk imidlertid nys om dette og bestemte seg for å misbruke situasjonen.
Svindlerne sendte ut phishing-e-poster, behandlet for å se ut som den offisielle korrespondansen sendt ut av OpenSea. Brødteksten i meldingen kopierer originalteksten som brukes av de legitime OpenSea-meldingene. Imidlertid lenker svindlerne til en phishing-side i stedet. En gang på den siden blir offeret oppfordret til å signere et transaksjonsskjema, nok en gang skreddersydd og behandlet for å se nesten nøyaktig ut som det offisielle OpenSea-skjemaet. Svindlersiden instruerer imidlertid brukere om å koble til hovedbokenheten, velge Ethereum-appen og deretter aktivere "smart kontraktsdata" og "blind signering". Denne teksten mangler i den opprinnelige meldingen fra NFT-plattformen.
Når offeret signerer transaksjonen som tilbys, sender de en forespørsel til angriperens kontrakt, som ble opprettet omtrent en måned før phishing-angrepet. Selve forespørselen kalles atomicMatch_ og brukes i handler på NFT-plattformen. Check Point forklarte at "atomic" refererer til det faktum at transaksjonen vil bli utført bare hvis alle parametere er oppfylt.
Kontoen som ble brukt til å stjele NFT-ene ser ut til å ha boblet med nye $2 millioner stjålne og videresolgte NFT-er, ifølge forskerteamet.
Rush for ikke-fungible stoffer
NFT-er har blitt et veldig hett tema de siste månedene, til det punktet hvor ikke bare innholdsskapere og merkevarer er interessert i dem, men til og med store underholdnings- og spillselskaper har begynt å kjøre hardt mot å implementere dem med jevne mellomrom. Emnet er kontroversielt, og mens mange kryptofans omfavner NFT-er, tror mange andre NFT-er egentlig er en veldig forseggjort måte å overbevise folk om å skille seg fra pengene sine.
Denne siste ulykken viser bare at, i likhet med kryptomarkedsplasser og -børser, vil NFT-markedsplasser også være målrettet av trusselaktører og vil dukke opp i nyhetene, ettersom jo mer denne typen infrastruktur og brukerbase vokser, desto større blir angrepsflaten. vil være tilgjengelig for trusselaktører også.
