OpenSea Kullanıcılarından Kimlik Avı Yapılan NFT'lerde Milyonlarca Dolar
Mantar olmayan belirteçlerin popülaritesindeki vahşi artışın ardından hiç kimseyi şaşırtmaması gereken bir olayda, kötü niyetli bir aktör, iyi zamanlanmış bir kimlik avı saldırısında OpenSea NFT pazarının kullanıcılarından yaklaşık 2 milyon dolar değerinde NFT çalmayı başardı.
OpenSea, kendisini dünyanın en büyük NFT pazarı olarak görüyor. Platform, değiştirilemeyen belirteçlerin veya NFT'lerin değişimi için eşler arası bir pazar yeri sunar. Platform, etkin olmayan token listelemeleriyle başa çıkmak için güncelleme sürecini başlatıyordu. Bu güncelleme, kullanıcı eylemi ve sözleşme geçişi gerektirdi, bu nedenle OpenSea, kullanıcılara ne yapılması gerektiğini açıklayan ayrıntılı talimatlar gönderdi.
Doğru Zamanda Kimlik Avı
Ancak, kimlik avı saldırısının arkasındaki tehdit aktörü hızlı davrandı ve OpenSea kullanıcılarına kimlik avı e-postaları gönderdi. Yem, oltalama e-postalarında bulunan kötü amaçlı bağlantılar dışında, OpenSea platformu tarafından gönderilen orijinal mesajla neredeyse aynı görünecek şekilde tasarlandı.
Kötü bağlantı, kurbanları, OpenSea tarafından kullanılan sayfayla neredeyse aynı görünen özel olarak değiştirilmiş bir kimlik avı sayfasına yönlendirir, ancak kötü niyetli sayfa ayrıca kullanıcılara "akıllı sözleşme verilerini" ve "kör imzayı" etkinleştirmelerini söyler - resmi metinde bulunmayan metin Açık Deniz sayfası.
Saldırgan Hazır Geldi
Kimlik avı kampanyasının arkasındaki saldırgan, saldırıdan yaklaşık bir ay önce bir sözleşme kurmuştu. Kurbanlar, kimlik avı sayfasındaki kötü amaçlı işlemi imzaladıktan sonra, tehdit aktörünün sözleşmesine bir atomicMatch_ isteği gönderir. atomicMatch_ isteği, OpenSea tarafından, yalnızca değişimin tüm parametreleri karşılandığında işlemleri yetkilendirmek için kullanılır.
Saldırıyla ilgili bir gönderi yayınlayan Check Point'li siber güvenlik ekibine göre, tehdit aktörü saldırıda çalınan NFT'leri hızla yeniden satmayı ve bu süreçte yaklaşık 2 milyon dolar kazanmayı başardı.
Bu saldırı yalnızca, finansal odaklı dijital mekanlar ne kadar kullanılabilir hale getirilirse, tehdit aktörlerine o kadar fazla saldırı yüzeyi ve saldırı vektörü sunulacağını gösterir. Neredeyse NFT'lerle uğraşan herkesin kötü bağlantıyı ve kimlik avı e-postasını tespit etmek için yeterince teknoloji meraklısı olacağını düşünürdü, ancak 2 milyon dolarlık NFT'nin nasıl çalındığını görünce durum böyle görünmüyor.