Miliona dollarë në NFT të phished nga përdoruesit e OpenSea

Në një incident që nuk duhet të jetë befasi për askënd pas rritjes së madhe të popullaritetit të argumenteve jo të këmbyeshëm, një aktor keqdashës arriti të vidhte NFT me vlerë rreth 2 milionë dollarë nga përdoruesit e tregut OpenSea NFT në një sulm phishing në kohën e duhur.

OpenSea e konsideron veten si tregu më i madh NFT në botë. Platforma ofron një treg peer-to-peer për shkëmbimin e argumenteve ose NFT-ve jo të këmbyeshme. Platforma po fillonte procesin e përditësimit në mënyrë që të merrej me listimet joaktive të argumenteve. Ky përditësim kërkonte veprimin e përdoruesit dhe migrimin e kontratës, kështu që OpenSea u dërgoi përdoruesve udhëzime të hollësishme, duke shpjeguar se çfarë duhet bërë nga ana e përdoruesit.

Phishing në kohën e duhur

Megjithatë, aktori i kërcënimit pas sulmit të phishing veproi shpejt dhe dërgoi emaile phishing për përdoruesit e OpenSea. Karremi u përshtat që të dukej pothuajse i njëjtë me mesazhin origjinal të dërguar nga platforma OpenSea, me përjashtim të lidhjeve me qëllim të keq që gjenden në emailet e phishing.

Lidhja e keqe i ridrejton viktimat në një faqe phishing të rregulluar posaçërisht që duket pothuajse e njëjtë me faqen e përdorur nga OpenSea, por faqja keqdashëse u thotë gjithashtu përdoruesve të aktivizojnë "të dhënat e kontratës inteligjente" dhe "nënshkrimin e verbër" - tekst që mungon në faqen zyrtare. Faqja e OpenSea.

Sulmuesi erdhi i përgatitur

Sulmuesi pas fushatës së phishing kishte lidhur një kontratë afërsisht një muaj para sulmit. Pasi viktimat nënshkruajnë transaksionin me qëllim të keq në faqen e phishing, ata dërgojnë një kërkesë atomicMatch_ në kontratën e aktorit të kërcënimit. Kërkesa atomicMatch_ përdoret nga OpenSea për të autorizuar transaksionet vetëm nëse plotësohen të gjithë parametrat e shkëmbimit.

Sipas ekipit të sigurisë kibernetike me Check Point i cili publikoi një postim mbi sulmin, aktori i kërcënimit arriti të rishiste shpejt NFT-të e vjedhura në sulm dhe të fitonte rreth 2 milionë dollarë në proces.

Ky sulm tregon vetëm se sa më shumë vende dixhitale të orientuara financiarisht të vihen në dispozicion, aq më shumë sipërfaqe sulmi dhe vektorë sulmi do t'u paraqiten edhe aktorëve të kërcënimit. Dikush pothuajse do të mendonte se kushdo që merret me NFT-të do të ishte mjaft i aftë për teknologjinë për të dalluar lidhjen e keqe dhe emailin e phishing, por duke parë se si u vodhën NFT-të me vlerë 2 milionë dollarë, nuk duket të jetë kështu.