OpenSea平台被攻击，价值170万美元的NFT资产被窃

ang010ela 新闻 2022-03-08 11:50:00

246971

导语：攻击者利用OpenSea NFT市场智能合约升级实施钓鱼攻击，价值约170万美元的NFT资产被窃。

攻击者利用OpenSea NFT市场智能合约升级实施钓鱼攻击，价值约170万美元的NFT资产被窃。

NFTs是指非同质化代币，具有不可分割、不可替代、独一无二等特点。OpenSea是目前全球最大的综合NFT交易平台,用户可以在平台上铸造、展示、交易、拍卖NFT。近日，有攻击者利用OpenSea NFT市场智能合约升级实施钓鱼攻击，其中17个用户价值约170万美元的NFT资产被窃。

几天前，OpenSea发布公告称将实施合约迁移，为此OpenSea将升级到新的合约。

所有用户需要迁移其以太坊上的NFT列表到新的智能合约，并发布了官方指导，参见：

随后，有黑客利用这一升级过程来发布钓鱼信息。在攻击者，黑客使用与OpenSea发布的信息相同的内容发送给OpenSea用户和受害者：

点击右键中的链接就会将用户转向钓鱼网络，并要求用户签署一个看起来与OpenSea 博客非常像的交易：

签署该交易后，会发送atomicMatch_ request给攻击者的合约，该合约是攻击前1个月创建的，合约地址为(https://etherscan.io/address/0xa2c0946ad444dccf990394c5cbe019a858a945bd)：

然后，atomicMatch_会转发给OpenSea合约。OpenSea中的atomicMath是负责OpenSea最小信任的交易的。Atomic表示只有交易中的所有参数都满足的情况下交易才会发发生。这也是OpenSea 平台上NFT 在账号之间迁移的原理。

这也就是为什么攻击者要使用atomicMatch来窃取用户NFT了，因为攻击者利用这类请求可以在一个交易中就窃取所有受害者的NFT。

攻击流程如下所示：

受害者点击钓鱼邮件中的恶意链接；

链接打开一个钓鱼网站，并要求受害者签署一个交易；

签署该交易后，atomicMatch_ 请求会发送给攻击者的合约0xa2c0946ad444dccf990394c5cbe019a858a945bd；

攻击者转发该请求到OpenSea合约atomicMath 0x7be8076f4ea4a4ad08075c2508e481d6c946d12b；

OpenSea合约验证交易的所有参数，并执行该交易（因为所有交易参数都是受害者签署同意的）；

OpenSea合约与NFT合约通信，并将NFT从受害者处转给攻击者。

整个流程如下所示：

研究人员查看攻击者账户的交易发现，钱包中有出售窃取的NFT获利的价值超过200万美元的以太币。

本文翻译自：https://blog.checkpoint.com/2022/02/20/new-opensea-attack-led-to-theft-of-millions-of-dollars-in-nfts/如若转载，请注明原文地址

感谢您的支持，我会继续努力的!

打开微信扫一扫后点击右上角即可分享哟