OPEN:“OpenSea漏洞事件”致使大量NFT被竊取，多方分析疑為網絡釣魚攻擊

2月20日上午，“OpenSea新遷移合約疑似出現bug導致大量高價值NFT被竊取”一事引發熱議。

據多個推特KOL反映稱，該事件起因是OpenSea昨日推出的新遷移合約疑似出現BUG，攻擊者利用該BUG竊取大量NFT并賣出套利，失竊NFT涵蓋BAYC、BAKC、MAYC、Azuki、CoolCats、Doodles、Mfers等多種高價值系列。

新遷移合約，是OpenSea發布的一項新升級。昨日，OpenSea宣布其智能合約升級已完成，新的智能合約已經上線，用戶遷移智能合約需簽署掛單遷移請求，簽署此請求不需要Gas費，無需重新進行NFT審批或初始化錢包。在遷移期間，舊智能合約上的報價將失效。英式拍賣將于合約升級完成后暫時禁用幾個小時，新合約生效后，可以再次創建新的定時拍賣。現有智能合約的荷蘭式拍賣將于北京時間2月26日3時在遷移期結束時到期。

第四大CrypoPunks持有者開始將資產轉移到名為“OldSchoolCollection”的新錢包:金色財經報道，據 NFT KOL @Leonidas 在社交媒體透露，匿名 NFT 巨鯨“Seths”從上周開始將其 NFT 轉移到一個名為“OldSchoolCollection”的新錢包，但不清楚該巨鯨執行此操作目的。當前該錢包已整合了 673 個 CryptoPunks V1（240 個未封裝） 247 個 Art Blocks 、213 個 CryptoPunks（1 個 Alien，3 個 Ape）、136 個 MoonCats（123 個未封裝）、以及 16 個 Autoglyphs。截止目前，Seths 已成為第四大 CryptoPunks 持有者（排名高于 Yuga Lasb）、第四大 CryptoPunks V1 持有者和第五大 Autoglyph 持有者，，如果再收集 6 枚 CryptoPunk，他將成為最大的 Punk 持有者。[2023/2/4 11:47:18]

推特KOL“Jon_HQ”在推文中指出，攻擊者總共花費了750美元的gas費，沒有支付ETH購買，但獲得了4個Azukis、2個Coolmans、2個Doodles、2個KaijuKings、1個MAYC、1個CoolCat、1個BAYC……

Osprey Funds推出首個公開交易波卡基金“ODOT”:金色財經報道，總部位于美國費爾菲爾德的加密資產管理公司 Osprey Funds 宣布旗下 Osprey Polkadot Trust (ODOT) 現已公開交易，據悉這是該公司推出的首個公開交易波卡 Polkadot 基金，也是美國第一個專門投資 Polkadot 原生 Token DOT 的公開交易基金。作為一款基礎層協議，Polkadot 可幫助開發人員能夠在其基礎上構建具有可擴展性、安全性、自治和互操作性的 Web 3.0，目前市值超 96.9 億美元，ODOT 基金的推出將允許投資者更加方便、安全、經濟高效地利用這種創新加密貨幣。（Westfaironline）[2022/5/27 3:46:08]

Yuga Labs公布其新項目“Otherside”宣傳視頻，CoolCat、WoW等出鏡:3月19日消息，YugaLabs在社交媒體上公布其新項目“Otherside”的宣傳視頻，視頻內出鏡的NFT系列包括BoredApeYachtClub、MutantApeYachtClub、CryptoPunks、Meebits、CoolCats、WorldofWomen以及Nouns。

此前報道，AnimocaBrands子公司旗下NFT交易平臺nWayPlay于3月17日宣布與BAYC母公司YugaLabs合作開發的新游戲將采用ApeCoin作為游戲內貨幣。據悉，該款游戲將首先發布PC版，在移動端推出后將可能實現cross-play功能。[2022/3/19 14:06:32]

Mr.Whale也在推特上表示，Opensea“漏洞利用”可以允許用戶出售、竊取任何用戶的任何NFT，損失已超過2億美元。

元宇宙生態平臺“Oasis”獲千萬美元B輪融資:3月7日消息，元宇宙互動社交平臺“Oasis”已于近日完成千萬級美元B輪融資，領投方為五源資本、綠洲資本、BAI資本，回音資本擔任獨家財務顧問。本輪融資完成后，Oasis將持續進行產品迭代工作，并在全球范圍內拓展國際化人才，提升不同市場的產品運營和用戶服務能力，而為創作者打造的虛擬經濟體系有機會在年內上線。（鞭牛士）[2022/3/7 13:41:45]

隨后，就在眾人熱議之際，“OpenSea事件”的發展出現了轉折，攻擊似乎并非BUG導致。

gmDAO創始人Cyphr.ETH發推表示，黑客使用了標準網絡釣魚電子郵件復制了幾天前發生的“正版OpenSea”電子郵件，然后讓一些用戶使用WyvernExchange簽署權限。OpenSea未出現漏洞，只是人們沒有像往常一樣閱讀簽名權限。

安全公司PeckShield也表示，雖然未經證實，但Opensea黑客很可能是網絡釣魚。用戶按照網絡釣魚郵件中的指示授權“遷移”，而這種授權很不幸地允許黑客竊取有價值的NFTs……

以太坊智能合約編程語言Solidity的開發者foobar則分析稱?，黑客使用30天前部署的一個助手合約，調用4年前部署的一個操作系統合約，使用有效的atomicMatch()數據。這可能是幾個星期前的典型網絡釣魚攻擊。而不是智能合約漏洞，代碼是安全的。

截止目前，OpenSea官方已針對此事展開調查，并發布推特回應稱?：“我們正在積極調查與OpenSea智能合約有關的傳聞。這看起來像是來自OpenSea網站外部的網絡釣魚攻擊。不要點擊http://opensea.io之外的任何鏈接。”

根據多位推特KOL和官方聲明，本次漏洞事件原因基本上應該是外部網絡釣魚攻擊所致。但是也出現了一些不同的聲音。

譬如，OracleHawk首席執行官JacobKing就在推特上發了一張代碼截圖并認為?：“OpenSea現在撒謊并聲稱該漏洞實際上只是人們收到的網絡釣魚電子郵件。這100%不是真的，而是他們代碼中的一個缺陷導致了歷史上最大的NFT漏洞利用之一。”

此次漏洞事件最終原因是什么，我們仍需等待OpenSea的調查結果。巴比特持續關注中。

Tags：PENSEAENSOPENPENDsea幣多少錢OpenStream WorldOpenpay

非小號