El empresario Kevin Rose anunció que perdió 1,4 millones de dólares en un ataque de phishing dirigido a OpenSea y NFTs, llamado «Seaport Signature». Echemos un vistazo a este tipo de estafa y cómo protegerse de ella
Un hackeo de 1,4 millones de dólares
El miércoles 25 de enero, la celebridad Kevin Rose anunció que fue víctima de un ataque de phishing, lo que resultó en la pérdida de 1,4 millones de dólares en tokens no fungibles (NFT).
Con más de 1,6 millones de seguidores en Twitter, es conocido por dirigir el podcast Proof, la colección de NFT Moonbirds y el fondo de capital riesgo True Ventures. No tardó en responder en Twitter:
Me acaban de hackear, permanezcan atentos a los detalles – por favor, eviten comprar garabatos hasta que los tengamos marcados (acabamos de perder 25) + algunos otros NFTs (un autoglifo) …
– KΞVIN R◎SE (,) (@kevinrose) 25 de enero de 2023
Según se desprende del historial de su monedero en OpenSea, la víctima habría perdido 40 NFT de varias colecciones como Autoglyph, Cool Cats u OnChainMonkey. Los tokens fueron enviados directamente a la cartera del atacante y puestos a la venta en la plataforma.
Gracias a su influencia, Kevin Rose pudo obtener ayuda del equipo de OpenSea, que congeló los NFT afectados e impidió que se vendieran en su marketplace. Sin embargo, aún pueden venderse en otras plataformas como LooksRare o Rarible.
Cómo evitar estos ataques de phishing
Muchos expertos, como la empresa francesa Nefture Security, han investigado la situación y han declarado que este ataque es una «Seaport Signature». No se dio el contexto de esta firma, pero está claro que el sitio era malicioso y construido sólo para atraer víctimas. Veamos qué significa esto y cómo puede intentar protegerse contra ello.
En concreto, este tipo de ataque permite a un estafador hacer creer a su víctima que está firmando una transacción de aprobación clásica, cuando en realidad está entregando el derecho a listar una NFT en el mercado OpenSea. He aquí un ejemplo de firma, presentado por Nefture en su hilo explicativo del caso Kevin Rose:
La intrincada estructura de firmas de
SeaPort hace posible que un estafador engañe a un usuario inexperto para que firme un anuncio malicioso en @opensea a través de un sitio web de phishing.
Firmarlo conlleva el vaciado de su monedero
Cómo funciona pic.twitter.com/y1i2dKN4fW
– Nefture Security – Private beta LIVE (@Nefture) 25 de enero de 2023
Las firmas de puerto marítimo son un poco especiales, ya que te permiten mover tus tokens de un monedero a otro, basándose en una firma de aprobación previa que hayas dado a OpenSea. De este modo, el estafador obtiene todos los derechos para vender o transferir tus NFT de forma gratuita.
Por lo tanto, para protegerse, es importante estar muy atento cuando vea una firma de aprobación de Seaport. Asegúrese de que se encuentra en un sitio oficial y averigüe para qué sirve la firma. Además, si se encuentra en una página de menta, no firme nunca este tipo de aprobación.
Por último, lo hemos presentado muchas veces, pero no dude en utilizar el sitio web Revoke Cash para revocar los derechos que ha concedido a OpenSea
