OpenSea:黑客钓鱼攻击闪袭OpenSea用户

2月19日,全球最大的NFT交易平台OpenSea刚开始支持用户使用新合约,一些用户的NFT资产就被盗了。

次日,OpenSea的CEO Devin Finzer在推特上披露,「这是一种网络钓鱼攻击。我们不相信它与 OpenSea 网站相关联。到目前为止,似乎有 32 个用户签署了来自攻击者的恶意有效载体,他们的一些 NFT 被盗。」Finzer称,攻击者钱包一度通过出售被盗NFT获得了价值170万美元的ETH。

用户NFT被盗后,不少人在推特上猜测,钓鱼攻击的链接可能隐藏在假冒的「OpenSea致用户」邮件中。因为19日当日,该交易平台正在进行一项智能合约升级,用户需要将列表迁移到新的智能合约中。攻击者很可能利用了这次的升级消息,将钓鱼链接伪装成通知邮件。

2月21日,OpenSea的官方推特更新回应称,攻击似乎不是基于电子邮件。截至目前,钓鱼攻击的来源仍在调查中。

Jimbos Protocol:若黑客归还90%的资金,则放弃追究:5月30日消息,Jimbos Protocol发文称,过去24小时一直在与安全专家合作,并已找到有用线索。团队已向攻击者提议,表示若归还90%的资金,则放弃追究。否则将起诉攻击者,直到其被捕入狱。[2023/5/30 9:49:59]

2月18日,OpenSea开始了一项智能合约的升级,以解决平台上的非活跃列表问题。作为合约升级的一部分,所有用户都需要将他们在以太坊上的NFT列表迁移至新的智能合约中,迁移期将持续7天,到美东时间的2月25日下午2点完成,迁移期间,用户NFT在OpenSea上的旧报价将过期失效。

2月19日,用户需要配合完成的操作开始了。人们没有想到,在忙乱的迁移过程中,黑客的「黑手」伸向了OpenSea用户的钱包里。从用户们在社交平台的反馈看,大部分攻击发生在美东时间下午5点到晚上8点。

分布式资本合伙人沈波:今日卖出LQTY系黑客行为,对LQTY持有长期信心从未出售:4月16日消息,分布式资本创始合伙人沈波在社交媒体上发文表示,今日遭卖出的LQTY被盗资产与去年11月为同一笔,目前各方正积极追查。被盗钱包交易非本人操作,LQTY卖出系黑客行为。个人对LQTY持有长期信心,一直未曾出售并长期支持Liquidity Pool。沈波呼吁社区共同协助寻找黑客线索,愿提供酬劳。此前报道,分布式资本创始合伙人沈波于去年11月23日宣布个人常用的894结尾钱包地址被盗,共包含价值4200万美元资产。[2023/4/16 14:06:33]

从后来在以太坊浏览器上被标记为「网络钓鱼/黑客」的地址上看,19日晚18时56分,被盗的资产开始从黑客地址转移,并在2月20日10时30分出现了通过混币工具Tornado Cash「洗币」的操作。

日本交易所Fisco起诉币安 称后者在2018年“Zaif黑客事件”中为提供便利:日本加密货币交易所Fisco日前已于美国法院提起了针对币安(Binance)的诉讼,Fisco声称在2018年Zaif(现已被Fisco收购)遭遇黑客入侵丢失6300万美元的加密货币后,币安为黑客提供了便利。Fisco在起诉书中指出,通过链上分析追踪到了一个比特币地址,黑客自这个地址通过币安清洗了1451.7枚比特币,币安本有着冻结该账户并组织交易的能力,但由于币安缺乏行动,Zaif的客户和交易所本身都遭受了财务损失。Fisco要求获得币安的赔偿,具体金额将在庭审中确定。(Finance Magnates)[2020/9/15]

动态 | EOS竞猜游戏SKR EOS遭黑客攻击:14日凌晨,EOS竞猜游戏SKR EOS遭黑客攻击,攻击者创建多个小号(backstairs11到backstairs15等)并结合推块攻击成功攻击SKR EOS?并获利上千个EOS。此前在6月12日,成都链安态势感知系统检测到EOS竞猜类游戏SKR EOS遭到预攻击,有攻击者通过合约不断发起延时交易,尝试预先计算或者得到游戏合约的开奖参数。[2019/6/14]

黑客链上地址的部分动向

用户NFT被盗后,「OpenSea被黑客攻击,价值2亿美元资产被盗」的说法开始在网络上蔓延,人们无从得知失窃案的准确原因,也无法确认到底殃及了多少用户。

直到2月20日,OpenSea的CEO Devin Finzer才在推特上披露,「据我们所知,这是一种网络钓鱼攻击。我们不相信它与 OpenSea 网站相关联。到目前为止,似乎有 32 个用户签署了来自攻击者的恶意有效载体,他们的一些 NFT 被盗。」Finzer 驳斥了「价值2 亿美元的黑客攻击的传言」,并表示攻击者钱包通过出售被盗NFT 获得了价值170?万美元的ETH。

区块链安全审计机构 PeckShield 列出了失窃NFT的数量,共计315个NFT资产被盗,其中有254个属于ERC-721标准的NFT,61个为ERC-1155标准的NFT,涉及的NFT品牌包括知名元宇宙项目Decentraland 的资产和NFT头像「无聊猿」Bored Ape Yacht Club等。该机构还披露,黑客利用Tornado Cash清洗了1100 ETH,按照ETH当时2600美元的价格计算,清洗价值为286万美元。

用户NFT失窃事件发生后,有网友猜测,黑客利用了OpenSea升级的消息,将钓鱼链接伪造成通知用户的邮件,致使用户上当受而点击了危险链接。

对此,Devin Finzer表示,他们确信这是一次网络钓鱼攻击,但不知道钓鱼发生在哪里。根据与32名受影响用户的对话,他们排除了一些可能性:攻击并非源自OpenSea官网链接;与OpenSea电子邮件交互也不是攻击的载体;使用OpenSea 铸造、购买、出售或列出NFT不是攻击的载体;签署新的智能合约(Wyvern 2.3 合约)不是攻击的载体;使用 OpenSea 上的列表迁移工具将列表迁移到新合约上不是攻击的载体;点击官网banner页也不是攻击的载体。

简而言之,Finzer试图说明钓鱼攻击并非来自OpenSea网站的内部。2月21日凌晨,OpenSea官方推特明确表示,攻击似乎不是基于电子邮件。

截至目前,钓鱼攻击到底是从什么链接上传导至用户端的,尚无准确信息。但获得Finzer认同的说法是,攻击者通过钓鱼攻击拿到了用户转移NFT的授权。

推特用户Neso的说法得到了Finzer的转发,该用户称,攻击者让人们签署授权了一个「半有效的 Wyvern 订单」,因为除了攻击者合约和调用数据(calldata)之外,订单基本上是空的,攻击者签署了另一半订单。

该攻击似乎利用了Wyvern 协议的灵活性,这个协议是大多数 NFT 智能合约(包括在 OpenSea上制定合约)的基础开源标准,OpenSea 会在其前端/API上验证订单,以确保用户签署的内容将按预期运行,但这个合约也可以被其他更复杂的订单使用。

按照Neso的说法,首先,用户在Wyvern上授权了部分合约,这是个一般授权,大部分的订单内容都留着空白;然后,攻击者通过调用他们自己的合约来完成订单的剩余部分,如此一来,他们无需付款即可转移 NFT 的所有权。

简单打个比方就是,黑客拿到了用户签名过的「空头支票」后,填上支票的其他内容就搞走了用户的资产。

也有网友认为,在钓鱼攻击的源头上,OpenSea排除了升级过的、新的Wyvern 2.3合约,那么,不排除升级前的、被用户授权过的旧版本合约被黑客利用了。对此说法,OpenSea还未给出回应。

截至目前,OpenSea仍在排查钓鱼攻击的源头。Finzer也提醒不放心的用户,可以在以太坊浏览器的令牌批准检查程序(Ethereum Token Approval)上取消自己的NFT授权。

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

地球链

MATICNFT:NFT为何逆势崛起?

万物都逃不过元宇宙.......继沈腾在2022年虎年春晚中调侃元宇宙,将同名虚拟货币Dogeking带涨500倍之后。2月8日,有消息传出,冬奥会顶流“冰墩墩”特许生产商也在计划进军元宇宙.

火币APP下载DAO:DAO迈向抗捕获治理框架

我们经常看到资源和治理被捕获的故事,所以我们把它当作生活的现实来接受。一位高管挪用了公司的资金来度过一个奢侈的假期,一位政客接受来自行业财团的 “ 竞选捐款 ”,作为支持换取法律上的回报,不公平.

[0:0ms0-0:970ms