Os esquemas e roubos de NFT tornaram-se mais frequentes – onde quer que se possa tomar medidas para os evitar.
O ano passado foi sem precedentes para os NFTs. Desde colecções de blue-chip a celebridades que se juntaram a um enorme afluxo de membros da comunidade, o espaço sofreu um aumento meteórico em comparação com 12 meses atrás.
Embora isso tenha trazido liquidez ao espaço, oportunidades, e um vasto potencial de crescimento, também atraiu potenciais trapaceiros. Devido à natureza descentralizada do mundo NFT, muitos têm sido deixados vulneráveis a uma série de golpes. E em muitos casos, tem havido pouco que alguém possa fazer para os combater.
Os golpistas estão a tornar-se mais sofisticados, e todos os dias alguém tweets sobre a perda das suas gemas digitais mais preciosas. Os coleccionadores precisam de ser mais cautelosos do que nunca. Aqui está como.
Prime targets
O espaço NFT ainda está na sua fase experimental; muitos compararam-no ao Oeste Selvagem. Não há um apoio global ao cliente, pelo que não se pode reportar perdas às “autoridades”. No entanto, o espaço ainda gerou milhares de milhões de dólares em 2021. É isso que faz dele um terreno perfeito para os golpistas.
Os chamados “blue chip” NFT são os alvos mais visados, talvez nenhum mais frequente do que o Bored Ape Yacht Club, que agora ostenta um preço mínimo de 96 ETH. Isto significa que um golpista poderia arrecadar centenas de milhares de dólares com um único clique. Num espaço construído sobre um forte sentido de comunidade e positividade, ainda é assustadoramente fácil para os golpistas anónimos infiltrarem-se nas conversas e manipularem os detentores. Tudo o que realmente é preciso é um lapso momentâneo no julgamento.
A cadeia de bloqueio e os NFT proporcionaram autonomia, mas também significa que somos responsáveis pelos nossos bens – nenhum banco está de olho neles por si. A compreensão dos diferentes tipos de esquemas ajudará a manter os seus NFTs seguros.
Tipos de esquemas
Páginas falsas de menta
Muitas vezes durante quedas NFT altamente previstas, surgem várias páginas OpenSea, o que pode dificultar a verificação de qual é a colecção legítima, especialmente se a colecção não for verificada. Com a percolação FOMO e o tempo a contar, muitos coleccionadores não conseguem dar o passo extra de autenticar de onde os bens estão a cunhar, e cunham o NFT errado.
Pouco tempo depois, a colecção ilegítima é retirada do OpenSea juntamente com esse NFT, mas os golpistas ainda têm o dinheiro do comprador. Isto ocorreu recentemente com Punks Comic, onde muitos foram enganados a cunhar a partir de uma página falsa de OpenSea, perdendo centenas de dólares.
Passos a dar
- Nunca clique em links não verificáveis.
- Dupla verificação do link do domínio – um website fraudulento pode muitas vezes ser distinguido por apenas um carácter diferente.
- Confirme que está a imprimir o link verificado, indo primeiro ao Twitter ou Discord da colecção oficial.
Gotas de ar falsas
Due to NFTs existentes na cadeia de bloqueio, o endereço da sua carteira é público para todos, assim como todos os seus movimentos. Isto significa que qualquer pessoa pode interagir com a sua conta, e podem enviar NFTs para a sua carteira sem lhe perguntarem – como numa queda de ar.
Os golpistas enviarão frequentemente NFTs para a sua carteira para o levar a interagir com eles e para tentar obter os seus dados pessoais, pelo que é melhor não interagir com nenhum NFT novo a menos que tenha verificado a sua origem.
Impessoal
A personificação é talvez o esquema mais malicioso, e pode implicar uma variedade de métodos.
Recentemente, foi-me trazida à atenção uma conta no Twitter que tinha a minha foto de perfil, uma cópia da minha biografia, tinha tweeted alguns tweets idênticos aos meus, e tinha acumulado 5.000 seguidores. A única diferença entre a minha conta e a conta falsa era que o nome de utilizador da conta falsa incluía um s extra: NFTs1nsight em vez de NFT1nsight. Essa conta poderia facilmente ter enganado alguém que não tivesse visto a minha conta real.
Não posso ter a certeza de como a conta foi utilizada, ou se as DMs foram enviadas para potenciais vítimas do esquema, mas só posso assumir que foi criada de forma maliciosa. Tais esquemas têm-se tornado cada vez mais comuns, com algumas contas falsas acrescentando milhares de seguidores para parecerem mais reais.
Passos a dar
- Having lots of followers does not mean an account is real.
- VXXAVisualmente verifique duas vezes as pegas do Twitter e quem está a seguir a conta.
- Se verificar que é uma conta falsa, reporte-a ao Twitter.
Há também personificações de marcas, onde os golpistas também criam um perfil para oferecer apoio às vítimas de hacks, muitas vezes no Discord ou Twitter.
Ligações falsas
Os operadores de câmara irão enviar falsas ofertas OpenSea para os emails das pessoas, pedindo aos destinatários para clicarem no botão “ver”. Estes links levam-no frequentemente a uma página falsa, pedindo a sua carteira e frase de semente. (Nunca envie a alguém a sua frase de semente.) Golpes semelhantes são frequentes na Discord. Assim que um burlão tiver a sua informação, transferirá todos os seus bens para outra carteira e vendê-los-á – e não há maneira de os parar. Vai encontrar-se numa corrida para salvar o maior número de NFTs que puder.
Muitos vigaristas venderão NFTs a preços baixos apenas para os descarregar, e os compradores suspeitos podem simplesmente apanhá-los em vez de perguntarem como é que o vendedor os adquiriu. Por vezes, os esforços da comunidade podem ajudar a impedir isto, mas nem sempre.
Jenkins impostor: Um estudo de caso
Apenas recentemente, o servidor Discord do proeminente projecto NFT Jenkins the Valet foi comprometido por hackers depois de um moderador ter partilhado o seu ecrã e eles foram capazes de bloquear o Discord, proibindo os mods e os próprios fundadores. Os hackers fizeram-se passar por Jenkins, o que lhes permitiu então abandonar uma falsa ligação de menta a uma queda furtiva, que muitos membros acreditavam ser legítima. Não só o link era quase idêntico ao do site original, os hackers também criaram um palco para falar sobre a casa da moeda, proibindo qualquer pessoa que questionasse a autenticidade do que estava a acontecer.
Infelizmente, muitos caíram na mesma, e a comunidade foi enganada a partir de algumas dezenas de ETH.
O moderador principal foi enganado por burlões através dos Discord DMs que o acusavam de ser ele próprio um burlão. Num momento de pânico e confusão, ele tentou provar a sua inocência, partilhando as suas mensagens. Partilhou o seu ecrã, o que permitiu aos golpistas piratearem a sua Discord, e assumirem o controlo do servidor.
A segunda questão foi que Jenkins não tinha a propriedade total do servidor. Por causa disso, ele foi banido, o que teria sido impossível se ele tivesse sido o dono do servidor. Desde então, as permissões e a propriedade foram transferidas e o controlo foi recuperado, o que deverá ajudar a evitar futuros embustes.
A equipa Jenkins reagiu de forma decisiva em resposta ao hack, reiniciando a sua Discórdia de cima para baixo, introduzindo moderação 24/7 através de bots, conduzindo uma auditoria, e compensando todos os que perderam ETH no esquema. Jenkins também entregou um Bored Ape Kennel Club NFT como forma de pedir desculpa pelo infeliz incidente.
Uma pequena vantagem é que o hack significa que estão agora melhor equipados para combater os futuros golpistas.
Há um hack/scam(bypasses 2fa) que os golpistas estão a utilizar para comprometer as contas discordantes. Se é um fundador/administrador de um projecto, isto é IMPORTANTE.
O nosso servidor acabou de ser atacado.
Eis como, a
– Pequenos amigos Lemon (@LittlelemonsNFT) 3 de Janeiro de 2022
Melhores práticas de segurança
Aqui estão mais maneiras de manter os seus bens seguros:
- Certifique-se de que verificou as ligações antes de clicar nelas – nunca clique em ligações aleatórias ou quebradas enviadas por fontes desconhecidas.
- Nunca partilhe o seu ecrã.
- Antes de cunhar qualquer coisa, certifique-se de verificar o endereço do contrato, que deve especificar onde o NFT foi cunhado. Se tiver sido verificado no OpenSea, deve ser legítimo. Se parecer demasiado bom para ser verdade, provavelmente é.
- Nunca partilhe a sua frase de recuperação com ninguém.
- Disponha a sua frase de recuperação longe do seu telefone e da sua loja de informática (“cold storage”), com múltiplas cópias em locais seguros.
- AAverificará sempre que estiver a imprimir no website verificado.
- Para muitos, é mais fácil e seguro desligar completamente os DMs Discord devido aos bots e aos golpistas que abusam deles.
- Bookmark sites verificados como o OpenSea-it ajuda a evitar a aterragem em páginas falsas.
- Se precisar de assistência, nunca será enviada uma DM de primeira volta aos sítios oficiais para assistência, e não às redes sociais.
- Perguntas a amigos de confiança, recorra a equipas oficiais para obter respostas, e não tenha medo de fazer perguntas que dêem prioridade à sua segurança e protecção.
- Utilizar autenticação de dois factores, uma camada extra de segurança.
- Utilizar palavras-passe fortes e únicas – é sensato usar uma palavra-passe diferente cada vez que se cria uma conta.
- Utilizar uma carteira de hardware como um Ledger ou Trezor – estas carteiras frias estão offline, por isso ninguém mais pode aceder a ela senão você através da sua chave privada.
- DYOR. Antes de fazer qualquer coisa no mundo NFT, certifique-se de pesquisar a colecção, o vendedor, o contrato, a ligação, e outros detalhes.
On Securing your NFTs
Esta semana analisei 5 casos diferentes de carteiras a serem comprometidas e NFT a serem roubadas aos seus proprietários.
Parte-me o coração sempre que isto acontece, mas os padrões são sempre os mesmos.
1/ Abaixo estão algumas regras para viver para permanecer seguro
– richerd.eth ᵍᵐ (マ,マ) (@richerd) 2 de Fevereiro de 2022
Muito vigilante no espaço NFT. Um breve lapso de julgamento pode significar a diferença entre uma carteira cheia e uma carteira vazia.
