토요일에 해커가 피싱 공격을 시작하여 세계 최대 NFT 마켓플레이스 중 하나인 OpenSea 사용자로부터 잠재적으로 수백 개의 NFT를 170만 달러 가치로 얻었습니다. 일요일에 회사 관계자는 조사가 진행되는 동안 OpenSea에서 NFT를 거래하는 것이 안전하다고 확신시켜 고객을 진정시키려고 했습니다.
사건 후, OpenSea의 CEO인 Devin Finzer는 해커가 약 30명의 개인을 속여 자신의 NFT를 공격자에게 무료로 전송할 수 있는 권한을 부여하는 유해한 페이로드에 무의식적으로 서명하게 했다고 말했습니다. Finzer는 회사가 이것이 피싱 공격이라고 확신했지만 사기가 어디서 시작되었는지 알지 못했다고 말했습니다. 조직에 따르면 공격은 현재 OpenSea 외부에서 시작된 것으로 생각됩니다.
OpenSea 해킹: 사용자가 170만 달러 손실
OpenSea의 새로운 Wyvern 스마트 계약 시스템으로의 마이그레이션은 금요일에 시작되어 2월 25일까지 완료될 예정입니다. 해커는 마이그레이션을 이용하여 이 과정에서 공격을 받았습니다.
트위터에서 Finzer는 공격이 OpenSea의 웹사이트에서 시작된 것이 아니라고 밝혔습니다. 그는 또한 OpenSea의 이메일과 상호 작용하는 것이 피싱 공격의 소스가 아니며 피해자 중 누구도 원치 않는 이메일로 받은 링크를 클릭했다고 보고하지 않았다고 말했습니다. 또한 사이트 배너, 새로운 Wyvern 스마트 계약에 서명, OpenSea의 목록 마이그레이션 도구를 사용하여 목록을 새 Wyvern 시스템으로 마이그레이션하는 것은 모두 안전한 것으로 간주되었습니다.
이 공격은 https://t.co/TYuT1WACso에서 시작되지 않았습니다.
— 데빈 핀저(dfinzer.eth)(@dfinzer) 2022년 2월 20일
Finzer는 다음과 같이 말했습니다.
“우리는 악의적인 서명의 원인이 될 수 있는 공통 웹 사이트 집합을 찾기 위해 항목을 도난당한 사용자와 적극적으로 협력하고 있습니다. 피싱 공격의 정확한 특성에 대해 자세히 알게 되면 계속 업데이트하겠습니다.”
일요일에 OpenSea의 CTO인 Nadav Hollander는 기술적인 방식으로 공격을 설명했습니다. Hollander에 따르면 해커는 평판이 좋은 투자 회사로 가장하여 피해자의 돈을 소유할 수 있었습니다. 공격은 새로운 와이번 계약 시스템으로의 전환 및 공격의 희생자가 사전에 명령에 서명한 것과 관련이 없습니다.
1) 표적 피싱 공격에 대한 기술 요약 공유 @오픈씨 일부 web3 기술 교육을 포함한 사용자.
?— 나다브 홀랜더(@NadavAHollander) 2022년 2월 20일
토요일에 몇 시간에 걸쳐 발생한 공격은 표적이 된 것으로 보입니다.
홀랜더는 다음과 같이 말했습니다.
“32명의 사용자가 비교적 짧은 기간 동안 NFT를 도난당했습니다. 이는 매우 안타까운 일이지만 시스템적 문제가 아닌 표적 공격을 시사한다”고 말했다.
폭행은 OpenSea 외부에서 발생한 것으로 보이지만 회사는 현재 피해자를 지원하고 추가 지원을 제공하는 방법을 논의하고 있습니다.