Nonfungible token (NFT) koleksiyonu Moonbirds’ün kurucu ortağı Kevin Rose, kişisel NFT’lerinin 1,1 milyon dolardan fazla çalınmasına yol açan bir kimlik avı dolandırıcılığının kurbanı oldu.
NFT’nin yaratıcısı ve PROOF’un kurucu ortağı, haberi 25 Ocak’ta 1,6 milyon Twitter takipçisiyle paylaştı ve onlardan çalıntı olarak işaretlenene kadar herhangi bir Squiggles NFT satın almamalarını istedi.
Saldırıya uğradım, ayrıntılar için bizi izlemeye devam edin – lütfen biz onları işaretleyene kadar dalgalı çizgiler satın almaktan kaçının (25 tanesini kaybettim) + birkaç başka NFT (otoglif) …
— KΞVIN R◎SE (,) (@kevinrose) 25 Ocak 2023
“Bütün nazik, destekleyici sözler için teşekkür ederim. Tam bilgilendirme geliyor,” dedi sonra paylaşılan yaklaşık iki saat sonra ayrı bir tweet’te.
Rose’un NFT varlıklarının önemli bir bölümünü istismarcıya aktaran kötü niyetli bir imzayı imzaladıktan sonra NFT’lerinin boşaltıldığı anlaşılmaktadır.
GM – ne gün!
Bugün kimlik avına uğradım. Yarın tüm detayları canlı yayında, bir uyarı kuyruğu olarak twitter alanlarında ele alacağız. İşte teknik olarak nasıl düştüğü: https://t.co/DgBKF8qVBK— KΞVIN R◎SE (,) (@kevinrose) 25 Ocak 2023
bağımsız analiz Arkham’dan istismarcının en az bir Autoglyph (345 ETH), 25 Sanat Bloğu – Chromie Squiggle olarak da bilinen – (332.5 ETH) ve dokuz OnChainMonkey öğesi (7.2 ETH) çıkardığını tespit etti.
Toplamda en az 684,7 ETH (1,1 milyon dolar) çıkarıldı.
Kevin Rose nasıl istismar edildi?
Birkaç bağımsız zincir üstü analiz paylaşılırken, Moonbirds’ün arkasındaki şirket olan PROOF’un Başkan Yardımcısı Arran Schlosberg, 9.500 Twitter takipçisine Rose’un “kötü niyetli bir imzayı imzalamak için dolandırıldığını” ve bu da istismarcının çok sayıda transfer yapmasına izin verdiğini açıkladı. jeton sayısı:
1/ Bu, KRO’yu yanlış bir güvenlik duygusuna sokmak için kandıran klasik bir toplum mühendisliği parçasıydı. Hack’in teknik yönü, OpenSea’nin pazar sözleşmesi tarafından kabul edilen imzaların işlenmesiyle sınırlıydı.
— Arran (@divergencearran) 25 Ocak 2023
Kripto analisti “foobar”, 25 Ocak’ta ayrı bir gönderide “hacklemenin teknik yönünü” daha ayrıntılı bir şekilde detaylandırdı ve Rose’un işlemleri imzaladığında tüm NFT’lerini taşımak için bir OpenSea pazar sözleşmesini onayladığını açıkladı.
Rose’un her zaman bir istismardan “kötü niyetli bir imza” uzakta olduğunu ekledi:
herhangi bir şeyi imzalarken çok dikkatli olun, zincir dışı imzalar bile. Kevin Rose, kötü niyetli bir liman paketini imzalaması nedeniyle kasasından ~2 milyon dolar değerinde NFT’yi boşalttı. neyse ki işletim sisteminde alınıp satılamayan punk zombi (1000 ETH) gibi birkaç şey geride kaldı pic.twitter.com/GXHR3NQHLf
— foobar (@0xfoobar) 25 Ocak 2023
Kripto analisti, Rose’un bunun yerine NFT varlıklarını ayrı bir cüzdanda “siloya alması” gerektiğini söyledi:
“NFT pazar yerlerinde listelenmeden önce varlıkları kasanızdan ayrı bir “satış” cüzdanına taşımak bunu önleyecektir.”
Bir başka zincir üstü analist olan “Quit”, 71.400 Twitter takipçisine, OpenSea’ya güç veren platform olan Seaport pazar sözleşmesi tarafından kötü niyetli imzanın etkinleştirildiğini daha da açıkladığını söyledi:
Kevin Rose, tek seferde tüm OpenSea onaylı varlıkları için bir liste oluşturan zincir dışı bir imzayı imzalayarak 2 milyon $’dan fazla varlık kaybetti.
Liman güçlü bir araç olsa da, nasıl çalıştığının farkında değilseniz tehlikeli de olabilir.
Biraz bağlam 1/
– çık (@0xQuit) 25 Ocak 2023
Quit, istismarcıların Rose’un cüzdanında tutulan NFT varlıklarını görüntüleyebilen bir kimlik avı sitesi kurabildiklerini açıkladı.
İstismarcı daha sonra Rose’un OpenSea’de onaylanan tüm varlıklarının istismarcıya devredilmesi için bir sipariş oluşturdu.
Rose daha sonra kötü amaçlı işlemi doğruladı, Quit’i kaydetti.
İlişkili: Bluechip NFT projesi Moonbirds, Hollywood yetenek ajansları UTA ile anlaştı
Bu arada foobar, çalınan varlıkların çoğunun taban fiyatın çok üzerinde olduğunu, bunun da çalınan miktarın 2 milyon dolara kadar çıkabileceği anlamına geldiğini kaydetti.
Quit, OpenSea kullanıcılarının, kullanıcıları şüpheli görünen bir şeyi imzalamaya yönlendiren herhangi bir web sitesinden “kaçmaları” gerektiğini söyledi.
Hareket halindeki NFT’ler
Zincir üstü analist “ZachXBT”, 350.300 Twitter takipçisine, istismarcının varlıkları Bitcoin katman-2 “Lightning Network” üzerinde bir kripto para birimi değişimi olan FixedFloat’a gönderdiğini gösteren bir işlem haritası paylaştı.
İstismarcı daha sonra fonları Bitcoin’e (BTC) aktardı ve BTC’yi bir Bitcoin mikserine yatırmadan önce:
Üç saat önce Kevin, 1,4 milyon dolar değerinde NFT’ler için dolandırıldı. Bugün erken saatlerde aynı dolandırıcı başka bir kurbandan 75 ETH çaldı.
Bunu haritalandırarak, çalınan fonları bir bitcoin mikserine yatırmadan önce FixedFloat’a gönderme ve BTC ile takas etme yönünde net bir eğilim görebiliriz. pic.twitter.com/ZlywPYydwx
— ZachXBT (@zachxbt) 25 Ocak 2023
Crypto Twitter üyesi “Degentraland”, 67.000 Twitter takipçisine bunun kripto para birimi alanında bugüne kadar gördükleri “en üzücü şey” olduğunu söyledi ve böylesine yıkıcı bir istismardan biri geri dönebilecekse “o kişinin kendisi” olduğunu ekledi:
Bugüne kadar kriptoda gördüğüm en üzücü şey.@kevinrose cüzdan boşaldı.
Bundan geri dönebilecek biri varsa, o da kendisidir. pic.twitter.com/HZysg34qji
— Degentraland (@Degentraland) 25 Ocak 2023
Bu arada, Bankless’ın kurucusu Ryan Sean Adams, Rose’un bu kadar kolaylıkla istismar edilebilmesine öfkelenmişti. 25 Ocak’ta cıvıldamak, Adams, ön uç mühendislerini oyunlarını almaya ve bu tür dolandırıcılıkların gerçekleşmesini önlemek için kullanıcı deneyimini (UX) geliştirmeye çağırdı.
Kaynak : https://cointelegraph.com/news/moonbirds-creator-kevin-rose-loses-1-1m-in-nfts-after-1-wrong-move