Мошенники выманивают миллионы долларов в NFT у пользователей OpenSea
Пару дней назад исследователи безопасности из Check Point опубликовали сообщение в блоге с подробным описанием фишинговой атаки, нацеленной на пользователей OpenSea и приведшей к тому, что исследователи оценивают в «миллионы» украденных NFT.
OpenSea рекламирует себя как «крупнейшую торговую площадку NFT», предлагая торговую площадку P2P для обмена невзаимозаменяемыми токенами или NFT. Платформа проходила процесс обновления, который требовал переноса контракта. Цель этого состояла в том, чтобы позаботиться о неактивных списках старых токенов, что, в свою очередь, требует от пользователей действий, чтобы их контракты могли быть обновлены.
Фишинг для NFT
Команда OpenSea разослала пользователям подробное руководство, объясняющее, как именно им следует выполнить процедуру и перенести свои списки NFT. Однако злоумышленник пронюхал об этом и решил злоупотребить ситуацией.
Мошенники рассылали фишинговые электронные письма, подделанные под официальную переписку, рассылаемую OpenSea. Тело сообщения копирует исходный текст, используемый законными сообщениями OpenSea. Однако вместо этого мошенники ссылаются на фишинговую страницу. Оказавшись на этой странице, жертве предлагается подписать форму транзакции, еще раз адаптированную и подделанную, чтобы она выглядела почти точно так же, как официальная форма OpenSea. Тем не менее, мошенническая страница инструктирует пользователей подключить свое бухгалтерское устройство, выбрать приложение Ethereum, а затем включить «данные смарт-контракта» и «слепую подпись». Этот текст отсутствует в исходном сообщении от платформы NFT.
Как только жертва подписывает предложенную транзакцию, она отправляет запрос на контракт злоумышленника, который был создан примерно за месяц до фишинговой атаки. Сам запрос называется atomicMatch_ и используется в торгах на платформе NFT. Check Point пояснила, что «атомарный» относится к тому факту, что транзакция будет осуществлена только в том случае, если будут соблюдены все параметры.
По данным исследовательской группы, учетная запись, использованная для кражи NFT, по-видимому, переполнилась новыми украденными и перепроданными NFT на сумму 2 миллиона долларов.
Стремление к невзаимозаменяемым товарам
NFT стали очень горячей темой в последние месяцы, до такой степени, что в них заинтересованы не только создатели контента и бренды, но даже крупные развлекательные и игровые компании начали активно внедрять их на регулярной основе. Тема является спорной, и хотя многие поклонники криптографии поддерживают NFT, многие другие считают, что NFT — это, по сути, очень сложный способ убедить людей расстаться со своими деньгами.
Эта последняя авария только показывает, что, подобно рынкам криптовалют и биржам, рынки NFT также будут мишенью для злоумышленников и будут появляться в новостях, поскольку чем больше растет такая инфраструктура и пользовательская база, тем больше поверхность атаки, которая будут доступны и злоумышленникам.
