Miljontals dollar i NFT-nätfiske från OpenSea-användare
I en incident som inte borde komma som någon överraskning för någon som följde den vilda ökningen av popularitet för icke-fungibla tokens, lyckades en illvillig aktör stjäla NFT:er till ett värde av cirka 2 miljoner USD från användare av OpenSea NFT-marknadsplatsen i en vältajmad nätfiskeattack.
OpenSea fakturerar sig själv som den största NFT-marknadsplatsen i världen. Plattformen erbjuder en peer-to-peer-marknadsplats för utbyte av icke-fungibla tokens eller NFT:er. Plattformen började uppdatera processen för att hantera de inaktiva listorna över tokens. Den här uppdateringen krävde användaråtgärder och kontraktsmigrering, så OpenSea skickade ut detaljerade instruktioner till användarna, som förklarade vad som måste göras av användaren.
Nätfiske vid rätt tidpunkt
Hotaktören bakom nätfiskeattacken agerade dock snabbt och skickade ut nätfiskemail till OpenSea-användare. Betet skräddarsyddes för att se nästan likadant ut som det ursprungliga meddelandet som skickades av OpenSea-plattformen, med undantag för de skadliga länkarna i nätfiske-e-postmeddelandena.
Den dåliga länken omdirigerar offren till en specifikt manipulerad nätfiskesida som ser nästan likadan ut som sidan som används av OpenSea, men den skadliga sidan berättar också för användare att aktivera "smarta kontraktsdata" och "blind signering" - text som saknas på den officiella OpenSea-sidan.
Angriparen kom förberedd
Angriparen bakom nätfiskekampanjen hade satt upp ett kontrakt ungefär en månad före attacken. När offren väl har skrivit under den skadliga transaktionen på nätfiskesidan skickar de en atomicMatch_-förfrågan till hotaktörens kontrakt. Begäran atomicMatch_ används av OpenSea för att auktorisera transaktioner endast om alla parametrar för börsen är uppfyllda.
Enligt cybersäkerhetsteamet med Check Point som publicerade ett inlägg om attacken, lyckades hotaktören snabbt sälja vidare NFT:erna som stulits i attacken och tjäna runt 2 miljoner dollar i processen.
Denna attack visar bara att ju mer ekonomiskt orienterade digitala arenor görs tillgängliga, desto fler attackytor och attackvektorer kommer att presenteras även för hotaktörer. Man skulle nästan kunna tro att alla som sysslar med NFT:er skulle vara tillräckligt tekniskt kunniga för att upptäcka den dåliga länken och nätfiske-e-postmeddelandet, men när man ser hur NFT:er för 2 miljoner dollar stals, verkar det inte vara fallet.