Millioner av dollar i NFT-er phished fra OpenSea-brukere

I en hendelse som ikke burde komme som noen overraskelse for noen som fulgte den ville økningen i popularitet til ikke-fungible tokens, klarte en ondsinnet aktør å stjele rundt 2 millioner dollar med NFT-er fra brukere av OpenSea NFT-markedsplassen i et godt timet phishing-angrep.

OpenSea fakturerer seg selv som den største NFT-markedsplassen i verden. Plattformen tilbyr en peer-to-peer-markedsplass for utveksling av ikke-fungible tokens eller NFT-er. Plattformen startet prosessen med å oppdatere for å håndtere de inaktive oppføringene av tokens. Denne oppdateringen krevde brukerhandling og kontraktmigrering, så OpenSea sendte ut detaljerte instruksjoner til brukerne som forklarer hva som må gjøres på en del av brukeren.

Phishing til rett tid

Trusselaktøren bak phishing-angrepet handlet imidlertid raskt og sendte ut phishing-e-poster til OpenSea-brukere. Agnet ble skreddersydd for å se nesten ut som den originale meldingen som ble sendt av OpenSea-plattformen, med unntak av de ondsinnede koblingene i phishing-e-postene.

Den dårlige lenken omdirigerer ofrene til en spesifikt bearbeidet phishing-side som ser nesten ut som siden som brukes av OpenSea, men den skadelige siden forteller også brukere om å aktivere "smart kontraktsdata" og "blind signering" - tekst som er fraværende på den offisielle OpenSea-siden.

Angriperen kom forberedt

Angriperen bak phishing-kampanjen hadde satt opp en kontrakt omtrent en måned før angrepet. Når ofrene signerer den ondsinnede transaksjonen på phishing-siden, sender de en atomicMatch_-forespørsel til trusselaktørens kontrakt. AtomicMatch_-forespørselen brukes av OpenSea for å autorisere transaksjoner bare hvis alle parametere for børsen er oppfylt.

I følge cybersikkerhetsteamet med Check Point som publiserte et innlegg om angrepet, klarte trusselaktøren raskt å videreselge NFT-ene som ble stjålet i angrepet og tjene rundt 2 millioner dollar i prosessen.

Dette angrepet viser bare at jo mer økonomisk orienterte digitale arenaer gjøres tilgjengelige, jo flere angrepsflater og angrepsvektorer vil også bli presentert for trusselaktører. Man skulle nesten tro at alle som har å gjøre med NFT-er ville være tilstrekkelig teknisk kunnskapsrike til å oppdage den dårlige lenken og phishing-e-posten, men når man ser hvordan NFT-er verdt 2 millioner dollar ble stjålet, ser ikke dette ut til å være tilfelle.