買以太坊 買以太坊
Ctrl+D 買以太坊
ads
首頁 > XMR > Info

THE:當硬核黑客開始研究“釣魚” 你的NFT還安全嗎?_MetaXHunter

Author:

Time:1900/1/1 0:00:00

前有周杰倫無聊猿NFT被釣魚攻擊,損失超300萬人民幣。

后有全球最大的NFT交易平臺之一OpenSea大批用戶遭遇釣魚攻擊,多人資產受損。

可見Web3世界黑客依然猖狂作祟,為了打擊黑客囂張的氣焰,我們將為大家持續輸出干貨系列文章,教導大家NFT防騙技巧。

本文研究了兩類典型的NFT的釣魚攻擊,一類是盜取用戶簽名的釣魚攻擊,如:Opensea釣魚郵件事件;一類是高仿域名和內容的NFT釣魚網站。跟我們一起看看

「盜取用戶簽名的釣魚」

2022年2月21日,全球最大的加密數字藏品市場Opensea遭遇黑客攻擊。根據Opensea官方回復,有部分用戶由于簽署了給黑客的授權而導致用戶NFT被盜。

我們將本次事件再次復現一下,在本次事件攻擊事件中,攻擊者信息如下:

攻擊者地址(Fake_Phishing5169):

0x3e0defb880cd8e163bad68abe66437f99a7a8a74

攻擊者合約(Fake_Phishing5176):

知名投資者Mark Mobius:美聯儲收緊貨幣政策,看空比特幣:金色財經報道,知名投資者Mark Mobius預測,比特幣將徘徊在目前的1.7萬美元附近,但到2023年可能會跌至1萬美元。MarkMobius補充道:看空比特幣的理由是美聯儲收緊貨幣政策。(CNBC)[2022/12/10 21:35:23]

0xa2c0946ad444dccf990394c5cbe019a858a945bd

攻擊者獲得相關NFT的交易具體如下圖所示:

針對其中一筆交易進行分析,

0xee038a31ab6e3f06bd747ab9dd0c3abafa48a51e969bcb666ecd3f22ff989589,具體內容如下:

由上圖可知,攻擊者是獲得了用戶的授權,之后直接調用transferfrom方法將用戶的NFT盜走。

根據Opensea的CEO Devin Finzer發布的twitter,攻擊者是通過釣魚的方式獲取到用戶在Opensea上的掛單授權。

Theta升級上線以支持wTHETA作為TNT20代幣:金色財經報道,ThetaLabs(THETA)在區塊高度17285755成功部署了Thetav 3.4.0升級,它支持將包裝好的THETA(wTHETA)作為TNT20代幣。此次升級是Theta Metachain推出的關鍵,預計將于2022年12月推出。新版本允許wTHETA轉移到Metamask錢包和其他智能合約。它還可以通過智能合約將THETA和Theta Fuel(TFUEL)質押到Guardian節點和Elite Edge節點。(cryptoslate)[2022/10/1 18:36:38]

通過分析攻擊交易,黑客攻擊主要分為以下三個步驟。

1.構造正確的待簽名交易;

2.誘騙用戶點擊授權;

3.獲取用戶簽名后構造攻擊合約盜取用戶NFT。

步驟一 

首先對攻擊者構建的交易簽名內容進行分析,跟蹤函數調用棧發現具體的簽名信息如下:

由上圖可知,簽名的計算方式為:keccak256("\x19 Ethereum Signed Message:\n32", hashOrder(order));這種簽名方式會在order前再加一個消息前綴:’\x19 Ethereum Signed Message:\n32’,以確保改簽名不能在以太坊之外使用。之后將加上消息前綴的完整數據再計算keccak256值,最后用私鑰進行簽名。

金融科技公司Broadridge與Coinbase達成合作:9月15日消息,國際金融科技公司Broadridge Financial Solutions已與Coinbase建立合作關系,以促進加密生態系統發展。該合作伙伴關系將使Coinbase Prime與Broadridge Trading and Connectivity Solutions的NYFIX訂單路由網絡之間實現互操作性。(Finance Magnates)[2022/9/15 6:58:48]

但是該方式僅能聲明所有權,無法防止重放攻擊。如:用戶A簽署了消息發送給合約M,另一用戶B可以將這個簽名重放給合約N。下圖為訂單簽名中具體涉及到的信息。

其中涉及到的簽名主要參數為:

Side:買入或賣出

paymentToken:用于支付訂單的代幣類型

basePrice:訂單中NFT的價格

maker:訂單發出地址

taker:接收訂單的目標地址

上述簽名信息中包含訂單金額、目標地址等敏感信息,但是經過keccak256計算Hash后的值只是一串二進制字符串,用戶無法識別。

攻擊者根據上述Order信息構造簽名,可以隨意將上述簽名中涉及到的basePrice參數金額設置為0,接收地址設置為自己等。

Avalanche上被動收入協議Aleph Finance決定解散:6月21日消息,Avalanche上被動收入協議Aleph Finance宣布將解散,Aleph Finance表示決定結算的主要原因是糟糕的市場環境、節點niche被Strong block管理不善所摧毀以及公眾對于鎖定和質押產品的情緒等。(alephfinance)[2022/6/22 4:43:46]

步驟二 

攻擊者構造好待簽名數據后就可以誘騙用戶點擊授權。由于簽名的元數據是經過Keccak256計算后得到的包含0x的66個十六進制字符,用戶無法得知其代表的具體含義,因此可能直接點擊簽名,使得攻擊者獲得了用戶的掛單授權。

上圖中的簽名對于用戶來說類似盲簽,即所簽的消息內容對簽名人來說是盲的,簽名人不能看見消息的具體內容。

步驟三 

在步驟二中攻擊者獲取到ECDSA簽名消息中的R、S、V值,即可利用其構造攻擊合約盜取用戶NFT。下圖為OpenSea: Wyvern Exchange v1合約中驗證order的函數validateOrder(),具體源碼如下:

北京保利拍賣上線電子球星卡NBA Top Shot拍賣專場:金色財經消息,據北京保利拍賣微博消息,知名拍賣行北京保利拍賣上線電子球星卡NBA Top Shot拍賣專場,共集結32件數字球星卡標的,匯集了斯蒂芬·庫里(Steph Curry)、凱文·杜蘭特(Kevin Durant)、凱里·歐文(Kyrie·Irving)等時下最熱門的NBA巨星在賽場上的超稀有高光時刻。拍賣將于北京時間6月12日上午10點整開啟。

據悉,NBA Top Shot是由加拿大區塊鏈公司Dapper Labs與NBA聯盟于2020年10月在Flow鏈上推出的NBA電子球星卡游戲,卡片的內容包含了NBA歷史上的高光時刻,開創了數字收藏品市場。[2022/6/9 4:13:55]

由源碼可知,訂單驗證首先會校驗order的有效性和是否包含有效參數,接著校驗訂單是否曾經通過鏈上校驗。其中approvedOrders是一個mapping變量,該變量保存了所有已經通過鏈上批準驗證的訂單。如果訂單曾經校驗過則直接返回true,無需再使用ecrecover()校驗 ECDSA 簽名,以便智能合約可以直接下訂單。

以下是其中一筆NFT盜取交易,可以發現攻擊者利用用戶簽名通過調用攻擊者合約(Fake_Phishing5176):

0xa2c0946ad444dccf990394c5cbe019a858a945bd,以0 ether的價格盜取了用戶的NFT。

綜上,該類事件主要是因為用戶在簽署交易簽名時,由于簽署的交易內容是加密后的字符串,導致用戶無法直觀的看到簽署交易的具體內容,習慣性的點擊確認,從而造成攻擊者獲取到用戶的賣單權授權,盜走用戶的NFT。

「高仿域名的NFT釣魚」

這一類的釣魚網站主要是對NFT項目官網的域名和內容等進行幾乎一致的模仿,一般會先連接用戶錢包查詢用戶余額之后,再進行其他誘騙操作。這種釣魚網站是最常見的,主要分為以下幾種類型:

1 僅更換原官網的頂級域名

案例一

官網:https://invisiblefriends.io/

釣魚網站:https://invisiblefriends.ch/

查看釣魚網站的網頁源碼,可以發現如下攻擊地址:

0xEcAcDb9FA4Ed4ACD8977821737da7bCe688be1e0的相關交易:

可以發現上述兩筆交易是攻擊者獲取到的收益。

案例二

官網:https://cyberbrokers.io/

釣魚網站:https://cyberbrokers.live/

查看釣魚網站源碼,發現如下攻擊地址:

2 主域名添加單詞或符號進行混淆

有的釣魚網站會在主域名添加單詞或符號進行混淆,比如othersidemeta-airdrop、otherside-refunds.xyz等。

官網:https://otherside.xyz/

釣魚網站:http://othersidemeta-airdrop.com/

查看釣魚網站源碼,發現頁面存在setApprovalForAll()函數,該函數會授權_operator具有所有代幣的控制權。如果用戶授權了攻擊者,則用戶賬號中所有的NFT將會被盜走。

3 添加二級域名進行混淆

有的釣魚網站會添加二級域名進行混淆,進行釣魚欺騙。

?

官網:https://www.okaybears.com/

釣魚網站:https://okaybears.co.uk/?

查看網頁源碼,根據solana web3的官方文檔API,確認如下地址為攻擊地址:

在如今釣魚事件頻發的情況下,用戶需提高安全意識,保護自己。以下是我們的安全建議:

1 簽名時應當明確簽署的交易內容,包括交易價格、交易地址等信息,如下圖紅框處內容所示:

如果存在簽署內容僅為二進制字符串內容等無法明確的內容,請勿簽署。

2 切勿點擊任何郵件中的鏈接、附件,或輸入任何個人信息。

3訪問NFT官網時,一般在官網右上角等處會顯示官方twitter、discord等社交帳號,需在官方賬號上確認官網地址。

4安裝釣魚插件,可輔助識別部分釣魚網站。比如下面這一款(復制鏈接谷歌瀏覽器直接安裝)

https://chrome.google.com/webstore/detail/beosin-alert/lgbhcpagiobjacpmcgckfgodjeogceji?hl=zh-CN

Tags:NFTTHEETATHETAapenft幣價格The Troller CoinMetaXHuntertheta幣價格今日行情

XMR
LUN:5月區塊鏈生態被盜總金額約1億美元 較典型安全事件超26起_SOL

又到了每月安全盤點時刻!據成都鏈安【鏈必應-區塊鏈安全態勢感知平臺】安全輿情監控數據顯示:2022年5月,各類安全事件數量較4月有所上升.

1900/1/1 0:00:00
NFT:為拯救亞馬遜雨林 環保NFT不到一個小時竟被搶購一空_DOGBOSS價格

2019年,一場驚天大火讓人們震驚地發現,原來被譽為“地球之肺”的亞馬遜雨林這些年一直遭到嚴重的破壞。單2019年的7月,亞馬遜森林被砍伐的面積就達到了2254平方公里.

1900/1/1 0:00:00
PTI:只用作治理的OP會不會再次重現ENS、UNI之殤_MIS幣

這個話題其實有點大,但我確實想聊一下這件事情。很多人詬病 ENS 的問題就是沒有實質性的賦能,只做治理用,之前 ENS 的大幅上漲來自于人們對于協議產品的肯定以及對于 ENS 治理權利的爭奪.

1900/1/1 0:00:00
ANC:Binance Labs推出5億美元新基金 將專注于Web3項目_MANC

- Binance Labs 為新的投資基金融資 5 億美元。- 幣安發言人表示,這是該公司首只囊括外部資本的基金.

1900/1/1 0:00:00
以太坊:「在世界中心呼喚Web3」本周活動預告_BTC

Paradigm希望美SEC撤回其“語無倫次”的交易所擬議定義:金色財經報道,加密貨幣風險公司Paradigm的特別顧問Rodrigo Seira和該公司的政策總監Justin Slaughte.

1900/1/1 0:00:00
比特幣:萬字長文:美國加密貨幣監管史_區塊鏈

太長不看版: 在比特幣誕生之處,它主要被用于非法市場,臭名昭著。直到以太坊誕生,人們才看到了區塊鏈技術在金融之外的可能性。像IBM這樣的大公司曾經嘗試推廣聯盟鏈.

1900/1/1 0:00:00
ads