OpenSea-CEO Devin Finzer sagt, dass das Unternehmen mit den Betroffenen zusammenarbeitet.
In der vergangenen Nacht tauchten Berichte auf, dass NFT-Sammler NFTs und Ethereum aus Wallets verloren hatten. OpenSea hat nun bestätigt, dass es sich um einen Phishing-Angriff handelte, bei dem über 1,7 Millionen Dollar an Vermögenswerten auf die bösartige Wallet mit der Bezeichnung Fake_Phishing5169 verschoben wurden.
Die bösartige Wallet tätigte ihre ersten Transaktionen bereits im Dezember, aber die Berichte über Phishing-Aktivitäten begannen erst gestern. Diese Wallet hat auch mit einer anderen Wallet zusammengearbeitet, die als Teil eines OpenSea-Phishing-Betrugs markiert wurde.
In den letzten 24 Stunden wurden zahlreiche NFTs aus Sammlungen mit hohen Grundpreisen übertragen, wie Bored Ape Yacht Club NFTs, Cool Cats, Doodles und Azuki NFTs. Die Adresse Fake_Phishing5169 hatte auch Transaktionen über die konkurrierenden NFT-Marktplätze Rarible und LooksRare getätigt.
NFTs sind kryptografisch einzigartige Token, die auf einer Blockchain wie Ethereum existieren. Jede NFT ist mit einem Vermögenswert verknüpft, z. B. einem Bild oder einem Video, und kennzeichnet das Eigentum.
Wenige Stunden nach Bekanntwerden der Nachricht sagte der CEO von OpenSea, Devin Finzer: „Wir sind zuversichtlich, dass es sich um einen Phishing-Angriff handelt. Wir wissen nicht, wo das Phishing stattgefunden hat.“ Das Unternehmen glaubt jedoch, dass der Angriff nicht von der OpenSea-Domain ausging und dass weder legitime OpenSea-E-Mails noch das OpenSea-Site-Banner zu dem Angriff führten.
„Das Minting, der Kauf, der Verkauf oder das Auflisten von Gegenständen über opensea.io ist kein Angriffsvektor. Insbesondere die Unterzeichnung des neuen Smart Contracts (Wyvern 2.3) ist kein Angriffsvektor“, so Finzer, der auch klarstellte, dass OpenSeas Listing-Migrationstool nicht an dem Angriff beteiligt war.
„Wir arbeiten aktiv mit den Nutzern zusammen, deren Artikel gestohlen wurden, um eine Reihe gemeinsamer Websites einzugrenzen, mit denen sie interagiert haben und die für die bösartigen Signaturen verantwortlich sein könnten“, fügte er hinzu.
Finzer sagte, dass es zwar zeitweise Pausen in der Aktivität des Angreifers gegeben habe, OpenSea aber weiterhin die Situation untersuche. Er bestätigte auch, dass ein Beitrag des Twitter-Benutzers Neso mit seinem Verständnis der Geschehnisse „übereinstimmt“. Neso sagte, dass diejenigen, die Vermögenswerte verloren haben, die Hälfte eines gültigen Wyvern-Auftrags unterschrieben haben, der ein dezentralisiertes Austauschprotokoll ist, das Vermögensübertragungen durchführen kann:
Es herrscht Verwirrung wegen der OS-Sache.
Angreifer ließ Leute die Hälfte eines gültigen Wyvern-Auftrags unterschreiben, der Auftrag war im Grunde leer bis auf das Ziel (Angreifer-Vertrag) und Calldata, Angreifer unterschreibt andere Hälfte des Auftrags.
– Neso (@Nesotual) February 20, 2022
Ungeachtet der Quelle des Angriffs sind einige von den Vorgängen verwirrt. Warum hat der Phishing-Betrüger beispielsweise 50 Ethereum (132.597 $) an naterivers.eth geschickt, nachdem er einen Teil seines Vermögens genommen und dann zurückgegeben hatte? Und warum werden einige Zieladressen vom Tornado Cash-Proxy verborgen, andere aber nicht?
Um den ungewollten Verlust von NFT- und Ethereum-Token zu verhindern, ist es am besten, den Zugang über die Token-Genehmigungsfunktion von Etherscan zu sperren und die Verlagerung wertvoller Vermögenswerte in eine Hardware-Wallet in Betracht zu ziehen
