You are currently at: ejtech.hkej.com
Skip This Ads
Don't Miss

OpenSea用戶被盜254枚NFT 黑客轉售 套641個以太幣

By on February 22, 2022

原文刊於信報財經新聞「StartupBeat創科鬥室

OpenSea遭網釣攻擊,被盜NFT包括無聊猿及Azuki系列。(OpenSea網上圖片)

OpenSea遭網釣攻擊,被盜NFT包括無聊猿及Azuki系列。(OpenSea網上圖片)

非同質化代幣(NFT)在全球掀起狂熱,相關網絡安全風險不容忽視。NFT交易平台OpenSea行政總裁Devin Finzer證實,正調查一宗網絡釣魚攻擊,事件共導致32人蒙受損失。黑客透過出售所盜取的NFT,據報已獲利641枚以太幣(ETH),價值相當於174.5萬美元(約1361.1萬港元)。區塊鏈保安服務商PeckShield稱,黑客一共盜取了254枚NFT,包括無聊猿(Bored Ape Yacht Club)Azuki系列。

網釣攻擊 32人中招

Finzer強調,今次事件屬外部釣魚攻擊,受害人不小心簽署了來自黑客的惡意載荷(Malicious Payload),錯誤把手上的NFT資產轉移。由於受影響用戶均否認自己曾點擊可疑電郵超連結,平台暫時未知黑客透過什麼渠道發動釣魚攻擊;公司正與受影響用戶合作,追蹤他們曾經共同登錄過的網站,嘗試找出誘使受害人簽署惡意載荷(執行惡意活動訊息)的地方。

有網民分析指,OpenSea受害人只簽署了一半合約,再由黑客填寫合約上的空白內容。(OpenSea網上圖片)

有網民分析指,OpenSea受害人只簽署了一半合約,再由黑客填寫合約上的空白內容。(OpenSea網上圖片)

OpenSea近日正進行智能合約升級,隨着新的Wyvern智能合約上線,用戶由舊合約遷移至新合約,需要簽署掛單遷移請求。惟Finzer及OpenSea技術總監(CTO)Nadav Hollander均表明,事件跟OpenSea升級智能合約無關,亦沒有證據顯示OpenSea的系統及智能合約存在漏洞。Hollander認為,在OpenSea遷移合約前,受害人其實已簽署了惡意載荷。

事件曝光後,Finzer和Hollander一直透過Twitter交代事件,其他用戶亦對事件議論紛紛。其中一位用戶Neso推測,事件與空白支票異曲同工。受害人只簽署了一半合約,再由黑客填寫合約上的空白內容,Finzer亦認同相關推論。

行政總裁Devin Finzer透過Twitter交代事件。(Twitter網上圖片)

行政總裁Devin Finzer透過Twitter交代事件。(Twitter網上圖片)

可暫停資產互動權限自保

Finzer指出,目前黑客已歸還部分NFT,惟未有透露當中原因,亦未見涉事黑客有其他可疑舉動,會繼續調查並隨時向公眾滙報。他重申,用戶每次簽署智能合約時,需要確認自己是跟真正的OpenSea系統互動。用戶若擔心NFT資產被盜,可以設定un-approve,暫停外界與NFT資產的互動權限。

OpenSea近日升級智能合約,為黑客偷走NFT資產造就機會。(OpenSea網上圖片)

OpenSea近日升級智能合約,為黑客偷走NFT資產造就機會。(OpenSea網上圖片)

支持EJ Tech

如欲投稿、報料,發布新聞稿或採訪通知,按這裏聯絡我們