針對Opensea的釣魚攻擊，嚇壞了早起的NFT玩家_ENS:OpenSea

今晨，關于OpenSea疑似出現bug一事引發了大量關注與熱議。

事件起因為，多位用戶今晨于推特發布警告稱，OpenSea昨日推出的新遷移合約疑似出現bug，攻擊者正利用該bug竊取大量NFT并賣出套利。

路透社：FTX計劃于下周進行的籌款可能針對FTX國際和FTXUS的合并:金色財經報道，路透社援引一份內部備忘錄報道，加密貨幣交易所FTX將在下周進行籌資，這次籌資可能最終是為FTX國際和FTX美國的合并。

此前消息，FTX創始人SamBankman-Fried在內部信中表示，接下來一周里將再次進行融資，已經和孫宇晨進行了會談。[2022/11/10 12:45:55]

從攻擊者錢包的截圖來看，當前失竊NFT涵蓋BAYC、BAKC、MAYC、Azuki、CoolCats、Doodles、Mfers等多種高價值系列，其中部分已以地板價賣出，但也有一部分已原路轉回失竊地址。所謂遷移合約，來自于OpenSea昨日發布的一項新升級。昨日，OpenSea宣布其智能合約升級已完成，新的智能合約已經上線，用戶遷移智能合約需簽署掛單遷移請求，簽署此請求不需要Gas費，無需重新進行NFT審批或初始化錢包。在遷移期間，舊智能合約上的報價將失效。英式拍賣將于合約升級完成后暫時禁用幾個小時，新合約生效后，可以再次創建新的定時拍賣。現有智能合約的荷蘭式拍賣將于北京時間2月26日3時在遷移期結束時到期。事件發生后，OpenSea于官方推特回應稱：“我們正在積極調查與OpenSea智能合同有關的傳聞。這看起來像是來自OpenSea網站外部的網絡釣魚攻擊。不要點擊http://opensea.io之外的任何鏈接。”Alchemix、Sushiswap貢獻者，推特用戶@0xfoobar在事件發生后也于推特發布了關于此事的個人調查。@0xfoobar稱，黑客系使用30天前部署的輔助程序合約來調用4年前部署的OpenSea合約，該輔助合約同樣具有有效的atomicmatch()數據，這可能是起于幾個星期前的一場釣魚攻擊，黑客正趕著在所有掛單過期之前進行攻擊。

SnowSwap已推出針對Harvest的fAsset交換及質押池:3月17日，Harvest Finance官方發推宣布，基于Curve AMM機制的DEX SnowSwap已于3月16日，推出針對Harvest Finance的fAsset交換及質押池。該池允許Harvest Finance用戶在fUSDC、fDAI、fUSDT和vanilla USDC之間進行交換，并未這些代幣提供流動性。[2021/3/17 18:52:24]

新加坡非盈利組織發布央行支持的針對加密公司新行為準則:新加坡一家非營利性加密貨幣行業組織加密貨幣企業和初創企業協會(ACCESS)周四發布了一份由新加坡央行指導的數字資產支付提供商的行為準則。ACCESS表示，新加坡金融管理局“推動”了這一計劃，旨在幫助遵守法規并加強加密行業行為，而新加坡銀行業協會（ABS）也對其發展提供了幫助。該指南是圍繞該國的《支付服務法》(Payment Services Act)的要求設計的。該法案于2020年初進行了更新，要求在新加坡運營的數字資產企業必須注冊執照。它試圖通過KYC最佳實踐，提供一種標準化的方法來打擊洗錢和恐怖主義融資。（Coindesk）[2020/8/14]

@0xfoobar進一步分析稱，此事與OpenSea新遷移合約唯一的關系是，由于OpenSea智能合約升級后所有的歷史掛單都將在6天內到期，這其中也包含了所有來自已被釣魚攻破的地址的掛單，所以黑客不得不立即采取行動。換句話說，這是一場釣魚攻擊，而非一場通用智能合約漏洞，OpenSea的合約并沒有出現問題。

美SEC針對Boaz Manor等人通過欺詐ICO籌集3000萬美元的訴訟被暫停:美國證券交易委員會（SEC）針對被告Boaz Manor、Edith Pardo以及關聯公司CG Blockchain Inc和BCT Inc的訴訟已被美國檢察官暫停，以維持對這兩家公司計劃進行平行刑事調查的完整性。據此前消息，SEC指控上述公司及個人通過欺詐性的ICO從數百名投資者那里籌集超過3000萬美元。（Cointelegraph）[2020/4/6]

@0xfoobar的分析與其他一些大V不謀而合，gmDAO創始人Cyphr.ETH發推稱，黑客使用了標準網絡釣魚電子郵件復制了幾天前發出的正版OpenSea電子郵件，然后讓一些用戶使用WyvernExchange簽署權限。OpenSea未出現漏洞，只是人們沒有像往常一樣閱讀簽名權限。

至此，本次安全事件的原因已基本清晰，受影響群體為曾點擊過上述郵件并簽署了權限的用戶，出于安全起見，建議這些用戶暫時撤銷OpenSea的所有授權。可用的合約授權簽署工具包括https://revoke.cash/或https://zapper.fi/revoke或https://etherscan.io/tokenapprovalchecker或https://approved.zone/或https://tac.dappstar.io/#/，部分網站可能因當前訪問量過大無法打開，可以多試試。

Tags：ENSPENSEAOpenSeaHIENS3OPENAIERCSEANBOpenSea

FTT