OpenSeaユーザーからフィッシングされたNFTの数百万ドル

非代替トークンの人気が急上昇した後、誰もが驚くことではないはずの事件で、悪意のある攻撃者が、タイミングの良いフィッシング攻撃でOpenSeaNFTマーケットプレイスのユーザーから約200万ドル相当のNFTを盗むことに成功しました。

OpenSeaは、世界最大のNFTマーケットプレイスであると自負しています。このプラットフォームは、代替不可能なトークンまたはNFTを交換するためのピアツーピアマーケットプレイスを提供します。プラットフォームは、トークンの非アクティブなリストを処理するために更新のプロセスを開始していました。このアップデートにはユーザーアクションと契約の移行が必要だったため、OpenSeaはユーザーに詳細な手順を送信し、ユーザーの一部で何を行う必要があるかを説明しました。

適切なタイミングでのフィッシング

ただし、フィッシング攻撃の背後にいる攻撃者は迅速に行動し、OpenSeaユーザーにフィッシングメールを送信しました。餌は、フィッシングメールに含まれる悪意のあるリンクを除いて、OpenSeaプラットフォームによって送信された元のメッセージとほぼ同じに見えるように調整されました。

不正なリンクは、OpenSeaで使用されているページとほぼ同じように見える、特別に作成されたフィッシングページに被害者をリダイレクトしますが、悪意のあるページは、「スマートコントラクトデータ」と「ブラインド署名」を有効にするようにユーザーに指示します。 OpenSeaページ。

攻撃者が準備しました

フィッシングキャンペーンの背後にいる攻撃者は、攻撃の約1か月前に契約を結んでいました。被害者がフィッシングページで悪意のあるトランザクションに署名すると、攻撃者の契約にatomicMatch_リクエストを送信します。 atomMatch_リクエストは、交換のすべてのパラメーターが満たされた場合にのみトランザクションを承認するためにOpenSeaによって使用されます。

攻撃に関する投稿を公開したCheckPointのサイバーセキュリティチームによると、攻撃者は攻撃で盗まれたNFTを迅速に再販し、その過程で約200万ドルを稼ぎ出しました。

この攻撃は、より経済志向のデジタル会場が利用可能になるほど、より多くの攻撃対象領域と攻撃ベクトルが脅威アクターにも提示されることを示しているだけです。 NFTを扱う人なら誰でも、不正なリンクやフィッシングメールを見つけるのに十分な技術に精通していると思われるかもしれませんが、200万ドル相当のNFTがどのように盗まれたかを見ると、そうではないようです。