以太坊價格 以太坊價格
Ctrl+D 以太坊價格
ads

OpenSea:一文了解黑客釣魚攻擊閃襲OpenSea用戶始末

Author:

Time:1900/1/1 0:00:00

原標題|黑客釣魚攻擊閃襲OpenSea用戶

作者|茉莉

2月19日,全球最大的NFT交易平臺OpenSea剛開始支持用戶使用新合約,一些用戶的NFT資產就被盜了。

次日,OpenSea的CEODevinFinzer在推特上披露,「這是一種網絡釣魚攻擊。我們不相信它與OpenSea網站相關聯。到目前為止,似乎有32個用戶簽署了來自攻擊者的惡意有效載體,他們的一些NFT被盜。」Finzer稱,攻擊者錢包一度通過出售被盜NFT獲得了價值170萬美元的ETH。

用戶NFT被盜后,不少人在推特上猜測,釣魚攻擊的鏈接可能隱藏在假冒的「OpenSea致用戶」郵件中。因為19日當日,該交易平臺正在進行一項智能合約升級,用戶需要將列表遷移到新的智能合約中。攻擊者很可能利用了這次的升級消息,將釣魚鏈接偽裝成通知郵件。

Arbitrum鏈上ERC-20代幣累計鎖定總價值突破100億美元:金色財經報道,據Dune Analytics最新數據顯示,以太坊Layer2網絡Arbitrum鏈 ERC-20代幣累計鎖倉總價值已突破100億美元,本文撰寫時達到130.47億美元。此外,當前Arbitrum鏈上合約創建總數量為2,603,778個,交易總量達到約2.6億筆,鏈上已創建的賬戶總數量794.4萬個,其中活躍賬戶數量668萬個。歷史數據顯示,Arbitrum鏈上ERC-20代幣累計鎖倉總價值于5月中旬突破90億美元,這意味著該指標在不到一個月時間里增長近45%。[2023/6/6 21:18:27]

2月21日,OpenSea的官方推特更新回應稱,攻擊似乎不是基于電子郵件。截至目前,釣魚攻擊的來源仍在調查中。

Sortium 加入加州大學伯克利分校的區塊鏈 Xcelerator 計劃:金色財經報道,Web3 娛樂技術提供商Sortium宣布已被加州大學伯克利分校區塊鏈 Xcelerator 計劃接受,該計劃旨在加速區塊鏈技術的采用全球范圍內。該計劃為選定的團隊提供非稀釋性支持,提供對校園內外資源的訪問,包括教育、指導、交流機會、推銷指導和投資者會議。

Sortium 擁有一支由 web3 工程師、人工智能工程師和一個完整的游戲工作室組成的團隊。該計劃為企業家和研究人員提供機會,從而加速區塊鏈技術的開發和采用。[2023/3/23 13:20:38]

OpenSea用戶遭「釣魚」丟失NFT

2月18日,OpenSea開始了一項智能合約的升級,以解決平臺上的非活躍列表問題。作為合約升級的一部分,所有用戶都需要將他們在以太坊上的NFT列表遷移至新的智能合約中,遷移期將持續7天,到美東時間的2月25日下午2點完成,遷移期間,用戶NFT在OpenSea上的舊報價將過期失效。

特斯拉CEO馬斯克正在積極尋找推特的首席執行官:金色財經報道,CNBC援引消息人士表示,特斯拉CEO馬斯克正在積極尋找推特的首席執行官。[2022/12/21 21:57:05]

2月19日,用戶需要配合完成的操作開始了。人們沒有想到,在忙亂的遷移過程中,黑客的「黑手」伸向了OpenSea用戶的錢包里。從用戶們在社交平臺的反饋看,大部分攻擊發生在美東時間下午5點到晚上8點。

從后來在以太坊瀏覽器上被標記為「網絡釣魚/黑客」的地址上看,19日晚18時56分,被盜的資產開始從黑客地址轉移,并在2月20日10時30分出現了通過混幣工具TornadoCash「洗幣」的操作。

黑客鏈上地址的部分動向

用戶NFT被盜后,「OpenSea被黑客攻擊,價值2億美元資產被盜」的說法開始在網絡上蔓延,人們無從得知失竊案的準確原因,也無法確認到底殃及了多少用戶。

數據:過去五周持有10-100BTC的錢包中增加了5.2萬枚BTC:金色財經報道,據鏈上數據公司 Santiment 官方社交媒體披露數據顯示,持有 10-100 枚 BTC 的錢包所有者在熊市期間一直囤積比特幣,在過去的五周時間里,這些錢包已增加了 5.2 萬枚比特幣,按照當前價格計算,總規模超過 11 億美元,到目前為止,這些比特幣巨鯨持有的比特幣總額可能已經達到 429 萬枚。[2022/7/9 2:02:24]

直到2月20日,OpenSea的CEODevinFinzer才在推特上披露,「據我們所知,這是一種網絡釣魚攻擊。我們不相信它與OpenSea網站相關聯。到目前為止,似乎有32個用戶簽署了來自攻擊者的惡意有效載體,他們的一些NFT被盜。」Finzer駁斥了「價值2億美元的黑客攻擊的傳言」,并表示攻擊者錢包通過出售被盜NFT獲得了價值170?萬美元的ETH。

區塊鏈安全審計機構PeckShield列出了失竊NFT的數量,共計315個NFT資產被盜,其中有254個屬于ERC-721標準的NFT,61個為ERC-1155標準的NFT,涉及的NFT品牌包括知名元宇宙項目Decentraland的資產和NFT頭像「無聊猿」BoredApeYachtClub等。該機構還披露,黑客利用TornadoCash清洗了1100ETH,按照ETH當時2600美元的價格計算,清洗價值為286萬美元。

攻擊者如何拿到用戶「簽單」授權?

用戶NFT失竊事件發生后,有網友猜測,黑客利用了OpenSea升級的消息,將釣魚鏈接偽造成通知用戶的郵件,致使用戶上當受騙而點擊了危險鏈接。

對此,DevinFinzer表示,他們確信這是一次網絡釣魚攻擊,但不知道釣魚發生在哪里。根據與32名受影響用戶的對話,他們排除了一些可能性:攻擊并非源自OpenSea官網鏈接;與OpenSea電子郵件交互也不是攻擊的載體;使用OpenSea鑄造、購買、出售或列出NFT不是攻擊的載體;簽署新的智能合約不是攻擊的載體;使用OpenSea上的列表遷移工具將列表遷移到新合約上不是攻擊的載體;點擊官網banner頁也不是攻擊的載體。

簡而言之,Finzer試圖說明釣魚攻擊并非來自OpenSea網站的內部。2月21日凌晨,OpenSea官方推特明確表示,攻擊似乎不是基于電子郵件。

截至目前,釣魚攻擊到底是從什么鏈接上傳導至用戶端的,尚無準確信息。但獲得Finzer認同的說法是,攻擊者通過釣魚攻擊拿到了用戶轉移NFT的授權。

推特用戶Neso的說法得到了Finzer的轉發,該用戶稱,攻擊者讓人們簽署授權了一個「半有效的Wyvern訂單」,因為除了攻擊者合約和調用數據之外,訂單基本上是空的,攻擊者簽署了另一半訂單。

該攻擊似乎利用了Wyvern協議的靈活性,這個協議是大多數NFT智能合約的基礎開源標準,OpenSea會在其前端/API上驗證訂單,以確保用戶簽署的內容將按預期運行,但這個合約也可以被其他更復雜的訂單使用。

按照Neso的說法,首先,用戶在Wyvern上授權了部分合約,這是個一般授權,大部分的訂單內容都留著空白;然后,攻擊者通過調用他們自己的合約來完成訂單的剩余部分,如此一來,他們無需付款即可轉移NFT的所有權。

簡單打個比方就是,黑客拿到了用戶簽名過的「空頭支票」后,填上支票的其他內容就搞走了用戶的資產。

也有網友認為,在釣魚攻擊的源頭上,OpenSea排除了升級過的、新的Wyvern2.3合約,那么,不排除升級前的、被用戶授權過的舊版本合約被黑客利用了。對此說法,OpenSea還未給出回應。

截至目前,OpenSea仍在排查釣魚攻擊的源頭。Finzer也提醒不放心的用戶,可以在以太坊瀏覽器的令牌批準檢查程序上取消自己的NFT授權。

Tags:OPENPENOpenSeaSEAOpenStream WorldPENDULUMopensea幣價格SeahorseChain

中幣交易所
RED:Reddit正在測試NFT頭像功能 但“尚未做出決定”

Reddit正在其平臺上測試NFT頭像功能,這一消息是在Twitter實施類似功能一周左右后發布的.

1900/1/1 0:00:00
BITB:Bitbyte多元加密平臺正在變得越來越受歡迎

在剛剛過去的2021年,DeFi出現了快速創新,我們應該會在2022年看到蓬勃發展的趨勢和創新,社交和游戲的金融化將成為主要驅動力.

1900/1/1 0:00:00
ETA:在蘋果公司CEO透露將投資元宇宙后 其股價大漲

蘋果公司首席執行官蒂姆·庫克在該公司2022年第一季度財報電話會議上表示,他認為元宇宙領域有相當大的潛力,隨后蘋果的股價在盤后交易中大幅上漲.

1900/1/1 0:00:00
COI:Gitcoin創始人:加密經濟如何實現再生世界?

原文作者:Gitcoin?創始人?KevinOwocki原文來源:Bankless我們的世界面臨著許多生存威脅:氣候變化、內部沖突、外部戰爭、貧富差距、超級細菌——所有這些問題都是我們自己造.

1900/1/1 0:00:00
STR:是什麼在市場頹勢下捧出了KVS漲幅超300%的二月奇跡?

二月的虛擬貨幣市場依然處在寒冬中,隨著投資者心理與市場局勢的多方面受挫,僅過去24小時里,整個虛擬貨幣市值就蒸發了50,623,213,822.94262美元.

1900/1/1 0:00:00
BTC:白皮書重點看什么?如何從中發現不一樣價值?

本文編譯自Youtube百萬粉加密博主CoinBureau的視頻《ReadingCryptoWhitePapers:HowToFindGEMS》,不過可惜和遺憾的是.

1900/1/1 0:00:00
ads