O empresário Kevin Rose anunciou que perdeu 1,4 milhões de dólares num ataque de phishing contra OpenSea e NFTs, chamado “Seaport Signature”. Vejamos este tipo de esquema e como se proteger dele
Um hack de $1.4 milhões
Na quarta-feira, 25 de Janeiro, a celebridade Kevin Rose anunciou que tinha sido vítima de um ataque de phishing, resultando na perda de $1,4 milhões em fichas não fungíveis (NFT).
Com mais de 1,6 milhões de seguidores no Twitter, ele é conhecido por gerir o podcast Proof, a colecção NFT Moonbirds e o fundo de capital de risco True Ventures. Ele foi rápido a responder no Twitter:
I acabou de ser pirateado, fique atento aos detalhes – por favor, evite comprar quaisquer rabiscos até que os tenhamos sinalizados (acabou de perder 25) + alguns outros NFTs (um autoglifo) …
– KΞVIN R◎SE (,) (@kevinrose) 25 de Janeiro, 2023
Como evidenciado pela sua história da carteira no OpenSea, a vítima terá perdido 40 NFTs de várias colecções como Autoglyph, Cool Cats ou OnChainMonkey. Os tokens foram enviados directamente para a carteira do agressor e oferecidos para venda na plataforma.
Graças à sua influência, Kevin Rose conseguiu obter ajuda da equipa OpenSea, que congelou os NFTs em questão e os impediu de serem vendidos no seu mercado. Contudo, ainda podem ser vendidos noutras plataformas, tais como LooksRare ou Rarible.
Como evitar estes ataques de phishing
Muitos peritos, como a empresa francesa Nefture Security, analisaram a situação e declararam este ataque como sendo uma “Assinatura do Porto do Mar”. O contexto desta assinatura não foi dado, mas é evidente que o sítio foi malicioso e construído apenas para atrair vítimas. Vejamos o que isto significa e como se pode tentar proteger contra ele.
Em termos concretos, este tipo de ataque permite que um burlão faça a sua vítima acreditar que está a assinar uma transacção de aprovação clássica, quando na realidade está a entregar o direito de listar um NFT no mercado OpenSea. Eis um exemplo de uma assinatura, apresentada pela Nefture no seu fio que explica o caso Kevin Rose:
A intrincada estrutura de assinatura
SeaPort permite a um golpista enganar um utilizador inexperiente para assinar uma listagem maliciosa em @opensea através de um site de phishing.
A sua assinatura leva a que a sua carteira seja esvaziada
Como é works pic.twitter.com/y1i2dKN4fW
– Segurança da Nefture – Beta privada LIVE (@Nefture) 25 de Janeiro de 2023
As assinaturas dos portos marítimos são um pouco especiais, uma vez que lhe permitem mover as suas fichas de uma carteira para outra, com base numa assinatura de aprovação prévia que deu ao OpenSea. Assim, o burlão obtém todos os direitos para vender ou transferir o seu NFT gratuitamente.
Para se proteger, é portanto importante estar extremamente vigilante quando vê uma assinatura de aprovação do Porto Marítimo. Certifique-se de que está num site oficial e descubra para que serve a assinatura. Além disso, se estiver numa página de cunhagem, então nunca assine este tipo de aprovação.
Finalmente, já o apresentámos muitas vezes, mas não hesite em utilizar o website Revoke Cash para revogar os direitos que concedeu ao OpenSea
