PEN:针对的Opensea钓鱼攻击，吓坏了早起的NFT玩家

今晨，关于OpenSea疑似出现bug一事引发了大量关注与热议。

事件起因为，多位用户今晨于推特发布警告称，OpenSea昨日推出的新迁移合约疑似出现bug，攻击者正利用该bug窃取大量NFT并卖出套利。

从攻击者钱包的截图来看，当前失窃NFT涵盖BAYC、BAKC、MAYC、Azuki、CoolCats、Doodles、Mfers等多种高价值系列，其中部分已以地板价卖出，但也有一部分已远路转回失窃地址。

安全团队：7月同一团队已进行至少7次针对Discord的攻击，盗取超200枚NFT:7月11日消息，据CertiK统计，仅在7月份就发现了至少7次针对Discord的攻击，背后都是同一个钓鱼网站。仅此个人/团队就盗取了超过200枚NFT。请用户注意防范。[2022/7/11 2:04:59]

所谓迁移合约，来自于OpenSea昨日发布的一项新升级。昨日，OpenSea宣布其智能合约升级已完成，新的智能合约已经上线，用户迁移智能合约需签署挂单迁移请求，签署此请求不需要Gas费，无需重新进行NFT审批或初始化钱包。在迁移期间，旧智能合约上的报价将失效。英式拍卖将于合约升级完成后暂时禁用几个小时，新合约生效后，可以再次创建新的定时拍卖。现有智能合约的荷兰式拍卖将于北京时间2月26日3时在迁移期结束时到期。

APENFT(NFT)针对波场生态用户6月份空投已发放完毕:据官方消息，APENFT(NFT)针对波场生态BTC、ETH、TUSD、TRX、BTT、JST用户以及所有参与波场TRON DeFi挖矿用户6月份空投已经发放完毕。快照于6月10日12:00 （UTC）完成，实际空投NFT数量为9,697,147,692,004.047727枚。

下一次空投将在7月10日12:00(UTC)进行。支持APENFT（NFT）空投的交易所和钱包包括Binance，Huobi，Lbank，Bitrue，BitZ，Poloniex，Gate，imToken等。[2021/6/14 23:34:25]

事件发生后，OpenSea于官方推特回应称：“我们正在积极调查与OpenSea智能合同有关的传闻。这看起来像是来自OpenSea网站外部的网络钓鱼攻击。不要点击http://opensea.io之外的任何链接。”

动态 | 慢雾发布针对 EOS 交易 hard_fail 状态的新型攻击说明:据 IMEOS 报道，慢雾发文解析了 hard_fail 状态攻击，根据其的情报捕获与分析，慢雾意识到针对 EOS hard_faild 状态的新型攻击手法可能会造成更大范围的影响，本次手法成因为项目方未对交易状态进行严格且完备的检验导致攻击发生，属于“假充值”攻击类型的一种。在此，慢雾安全团队建议交易所和钱包要对发送给自己的转账交易在不可逆的区块前提下检测以下几点：1. 判断 status 是否为 executed2. 判断 action 是否为 transfer3. 判断合约账号是否为 eosio.token 或其它 token 的官方合约4. 判断代币名称及精度5. 判断金额6. 判断 to 是否是自己平台的充币账号补充说明：本次攻击可绕过节点 read-only 模式，开启 read-only 模式仍然会受到攻击。因为交易的状态为：未执行->已经执行但执行失败，并不是回滚所以即使开启了 read-only 模式，依然会受到攻击。[2019/3/12]

Alchemix、Sushiswap贡献者，推特用户@0xfoobar在事件发生了也于推特发布了关于此事的个人调查。@0xfoobar称，黑客系使用30天前部署的辅助程序合约来调用4年前部署的OpenSea合约，该辅助合约同样具有有效的atomicmatch()数据，这可能是起于几个星期前的一场钓鱼攻击，黑客正赶着在所有挂单过期之前进行攻击。

@0xfoobar进一步分析称，此事与OpenSea新迁移合约唯一的关系是，由于OpenSea智能合约升级后所有的历史挂单都将在6天内到期，这其中也包含了所有来自已被钓鱼攻破的地址的挂单，所以黑客不得不立即采取行动。换句话说，这是一场钓鱼攻击，而非一场通用智能合约漏洞，OpenSea的合约并没有出现问题。

@0xfoobar的分析与其他一些大V不谋而合，gmDAO创始人Cyphr.ETH发推称，黑客使用了标准网络钓鱼电子邮件复制了几天前发生的正版OpenSea电子邮件，然后让一些用户使用WyvernExchange签署权限。OpenSea未出现漏洞，只是人们没有像往常一样阅读签名权限。

至此，本次安全事件的原因已基本明了，受影响群体为曾点击过上述邮件并签署了权限的用户，出于安全起见，建议这些用户暂时撤销OpenSea的所有授权。可用的合约授权签署工具包括https://revoke.cash/或https://zapper.fi/revoke或https://etherscan.io/tokenapprovalchecker或https://approved.zone/或https://tac.dappstar.io/#/，部分网站可能因当前访问量过大无法打开，可以多试试。

标签：PENOpenSeaENSSEAPENC价格opensea币单个价格Tokens of BabelTSSEA价格

以太坊最新价格热门资讯