原标题|黑客钓鱼攻击闪袭OpenSea用户
作者|茉莉
2月19日，全球最大的NFT交易平台OpenSea刚开始支持用户使用新合约，一些用户的NFT资产就被盗了。
次日，OpenSea的CEODevinFinzer在推特上披露，「这是一种网络钓鱼攻击。我们不相信它与OpenSea网站相关联。到目前为止，似乎有32个用户签署了来自攻击者的恶意有效载体，他们的一些NFT被盗。」Finzer称，攻击者钱包一度通过出售被盗NFT获得了价值170万美元的ETH。
用户NFT被盗后，不少人在推特上猜测，钓鱼攻击的链接可能隐藏在假冒的「OpenSea致用户」邮件中。因为19日当日，该交易平台正在进行一项智能合约升级，用户需要将列表迁移到新的智能合约中。攻击者很可能利用了这次的升级消息，将钓鱼链接伪装成通知邮件。
Bit2Me和风投基金Inveready推出加密孵化器Web3Hub:6月3日消息，加密货币金融技术服务平台Bit2Me与风投基金Inveready宣布合作推出加密孵化器Web3Hub，旨在为这一领域初创公司提供加速服务，入选公司将会获得约10万欧元投资和一名创业导师。（CryptoNinjas）[2022/6/3 4:00:48]
2月21日，OpenSea的官方推特更新回应称，攻击似乎不是基于电子邮件。截至目前，钓鱼攻击的来源仍在调查中。
OpenSea用户遭「钓鱼」丢失NFT
2月18日，OpenSea开始了一项智能合约的升级，以解决平台上的非活跃列表问题。作为合约升级的一部分，所有用户都需要将他们在以太坊上的NFT列表迁移至新的智能合约中，迁移期将持续7天，到美东时间的2月25日下午2点完成，迁移期间，用户NFT在OpenSea上的旧报价将过期失效。
意博金融三递表港交所，涉风投业务参与香港首只加密货币基金:12月9日，意博金融控股有限公司再现港交所主板上市申请名单，其港股IPO招股书此前曾于2020年6月和2021年1月公开。据披露，其主要通过附属公司意博亚洲进行销售及顾问服务和资产管理业务，该主体获证券交易及资产管理业务等许可，任六只基金的投资经理和七只基金的投资顾问。意博金融声称，旗下基金主要为早期投资。值得注意的是，意博金融提供意见服务的基金中，有一只比特币基金DigiTrackers Bitcoin SP。
据意博金融披露，该基金首次募资完成后，资产管理规模为95万美元，约合741万港元。在2020年底，该基金的规模为1.26亿；截至2021年三月末，该基金的规模达1.67亿元。
第三方数据平台显示，就10月29日数据，该开放式基金一年期回报在224.52%。据香港媒体报道，意博金融创始人诸承誉透露，比特币基金上线半年后基金表现增长三倍，主要服务客户是家族办公室。意博基金披露，注册在开曼群岛的DigiTrackers SPC（Segregated Portfolio Company 独立投资组合公司），在2020年6月成立了投资于加密货币的基金DigiTrackers Bitcoin SP，主要投资于向其交易伙伴购买比特币或通过选定的加密货币交易所投资比特币，可持有少量其他加密货币。（蓝鲸财经）[2021/12/10 7:30:42]
2月19日，用户需要配合完成的操作开始了。人们没有想到，在忙乱的迁移过程中，黑客的「黑手」伸向了OpenSea用户的钱包里。从用户们在社交平台的反馈看，大部分攻击发生在美东时间下午5点到晚上8点。
区块链风投公司BVCI推出与加元挂钩的CADT稳定币:区块链风险投资公司BVCI推出与加元挂钩的CADT稳定币，由Concentra Trust提供托管服务，每个CADT均有Concentra Trust托管的1加元支持。CADT可以被兑换为加元，也可以与其他数字货币进行交易。（NewsWire）[2021/1/18 16:28:00]
从后来在以太坊浏览器上被标记为「网络钓鱼/黑客」的地址上看，19日晚18时56分，被盗的资产开始从黑客地址转移，并在2月20日10时30分出现了通过混币工具TornadoCash「洗币」的操作。
黑客链上地址的部分动向
用户NFT被盗后，「OpenSea被黑客攻击，价值2亿美元资产被盗」的说法开始在网络上蔓延，人们无从得知失窃案的准确原因，也无法确认到底殃及了多少用户。
动态 | 日本“艺术+区块链”风投企业Startbahn获SBI investment A轮追加融资:据Crypto Watch消息，致力于“艺术+区块链”领域的风投企业Startbahn有限公司于5月23日宣布，已完成A轮追加融资。投资方是SBI集团风投企业SBI investment股份公司运营的“SBI AI&Blockchain投资事业有限责任组合”。Startbahn一直和SBI艺术拍卖有些公司进行着业务合作，将通过此次融资继续加强合作。[2019/5/23]
直到2月20日，OpenSea的CEODevinFinzer才在推特上披露，「据我们所知，这是一种网络钓鱼攻击。我们不相信它与OpenSea网站相关联。到目前为止，似乎有32个用户签署了来自攻击者的恶意有效载体，他们的一些NFT被盗。」Finzer驳斥了「价值2亿美元的黑客攻击的传言」，并表示攻击者钱包通过出售被盗NFT获得了价值170?万美元的ETH。
区块链安全审计机构PeckShield列出了失窃NFT的数量，共计315个NFT资产被盗，其中有254个属于ERC-721标准的NFT，61个为ERC-1155标准的NFT，涉及的NFT品牌包括知名元宇宙项目Decentraland的资产和NFT头像「无聊猿」BoredApeYachtClub等。该机构还披露，黑客利用TornadoCash清洗了1100ETH，按照ETH当时2600美元的价格计算，清洗价值为286万美元。
攻击者如何拿到用户「签单」授权？
用户NFT失窃事件发生后，有网友猜测，黑客利用了OpenSea升级的消息，将钓鱼链接伪造成通知用户的邮件，致使用户上当受而点击了危险链接。
对此，DevinFinzer表示，他们确信这是一次网络钓鱼攻击，但不知道钓鱼发生在哪里。根据与32名受影响用户的对话，他们排除了一些可能性：攻击并非源自OpenSea官网链接；与OpenSea电子邮件交互也不是攻击的载体；使用OpenSea铸造、购买、出售或列出NFT不是攻击的载体；签署新的智能合约不是攻击的载体；使用OpenSea上的列表迁移工具将列表迁移到新合约上不是攻击的载体；点击官网banner页也不是攻击的载体。
简而言之，Finzer试图说明钓鱼攻击并非来自OpenSea网站的内部。2月21日凌晨，OpenSea官方推特明确表示，攻击似乎不是基于电子邮件。
截至目前，钓鱼攻击到底是从什么链接上传导至用户端的，尚无准确信息。但获得Finzer认同的说法是，攻击者通过钓鱼攻击拿到了用户转移NFT的授权。
推特用户Neso的说法得到了Finzer的转发，该用户称，攻击者让人们签署授权了一个「半有效的Wyvern订单」，因为除了攻击者合约和调用数据之外，订单基本上是空的，攻击者签署了另一半订单。
该攻击似乎利用了Wyvern协议的灵活性，这个协议是大多数NFT智能合约的基础开源标准，OpenSea会在其前端/API上验证订单，以确保用户签署的内容将按预期运行，但这个合约也可以被其他更复杂的订单使用。
按照Neso的说法，首先，用户在Wyvern上授权了部分合约，这是个一般授权，大部分的订单内容都留着空白；然后，攻击者通过调用他们自己的合约来完成订单的剩余部分，如此一来，他们无需付款即可转移NFT的所有权。
简单打个比方就是，黑客拿到了用户签名过的「空头支票」后，填上支票的其他内容就搞走了用户的资产。
也有网友认为，在钓鱼攻击的源头上，OpenSea排除了升级过的、新的Wyvern2.3合约，那么，不排除升级前的、被用户授权过的旧版本合约被黑客利用了。对此说法，OpenSea还未给出回应。
截至目前，OpenSea仍在排查钓鱼攻击的源头。Finzer也提醒不放心的用户，可以在以太坊浏览器的令牌批准检查程序上取消自己的NFT授权。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。