Создатель Moonbirds Кевин Роуз теряет $1,1 млн в NFT после одного неверного шага

Кевин Роуз, соучредитель коллекции невзаимозаменяемых токенов (NFT) Moonbirds, стал жертвой фишинговой аферы, в результате которой были украдены его личные NFT на сумму более 1,1 миллиона долларов.

25 января создатель NFT и соучредитель PROOF поделился этой новостью со своими 1,6 миллионами подписчиков в Твиттере, попросив их не покупать какие-либо Squiggles NFT, пока им не удастся пометить их как украденные.

Меня только что взломали, следите за подробностями — пожалуйста, не покупайте загогулины, пока мы не пометим их (только что потеряли 25) + несколько других NFT (автоглиф) …

— KΞVIN R◎SE (,) (@kevinrose) 25 января 2023 г.

«Спасибо за все добрые слова поддержки. Будет полный отчет», — поделился он в отдельном твите примерно через два часа.

Понятно, что NFT Роуза были слиты после подписания вредоносной подписи, которая передала значительную часть его активов NFT злоумышленнику.

ГМ — что за день!
Сегодня меня фишили. Завтра мы расскажем обо всех подробностях в прямом эфире, в качестве предостережения, в твиттер-пространстве. Вот как это было технически: https://t.co/DgBKF8qVBK

— KΞVIN R◎SE (,) (@kevinrose) 25 января 2023 г.

Независимый анализ Arkham показал, что эксплуататор извлек как минимум один автоглиф (345 ETH), 25 художественных блоков, также известных как Chromie Squiggle, (332,5 ETH) и девять элементов OnChainMonkey (7,2 ETH).

Всего было извлечено не менее 684,7 ETH (1,1 миллиона долларов).

Как Кевина Роуза эксплуатировали

Несмотря на то, что было опубликовано несколько независимых анализов в сети, вице-президент PROOF — компании, стоящей за Moonbirds, — Арран Шлосберг объяснил своим 9500 подписчикам в Твиттере, что Роуз «была обманута, чтобы подписать вредоносную подпись», которая позволила эксплуататору передать большое количество токенов:

1/ Это был классический образец социальной инженерии, заставляющий KRO ложно чувствовать себя в безопасности. Технический аспект взлома ограничивался созданием подписей, принятых в контракте с рынком OpenSea.

— Арран (@divergencearran) 25 января 2023 г.

Криптовалютный аналитик «foobar» более подробно остановился на «техническом аспекте взлома» в отдельном посте от 25 января, объяснив, что Роуз одобрил контракт с рынком OpenSea для перемещения всех своих NFT всякий раз, когда Роуз подписывает транзакции.

Он добавил, что Роуз всегда находился на расстоянии «одной вредоносной сигнатуры» от эксплойта:

будьте очень осторожны при подписании чего-либо, даже подписи вне сети. У Кевина Роуза только что были слиты NFT на сумму около 2 миллионов долларов из его хранилища из-за подписания одного вредоносного пакета морского порта. к счастью, пара вещей сдержана, например, панк-зомби (1000 ETH), который нельзя обменять на ОС pic.twitter.com/GXHR3NQHLf

— foobar (@0xfoobar) 25 января 2023 г.

Криптовалютный аналитик сказал, что Роуз вместо этого должен был «поместить» свои активы NFT в отдельный кошелек:

«Перемещение активов из вашего хранилища в отдельный «продающий» кошелек перед листингом на торговых площадках NFT предотвратит это».

Другой сетевой аналитик, «Квит», сказал своим 71 400 подписчикам в Твиттере, что вредоносная подпись была включена контрактом на торговую площадку Seaport — платформой, на которой работает OpenSea:

Кевин Роуз только что потерял более 2 миллионов долларов активов, подписав автономную подпись, которая создала листинг для всех его одобренных активов OpenSea за один раз.

Хотя морской порт — мощный инструмент, он также может быть опасным, если вы не знаете, как он работает.

Немного контекста 1/

— уволиться (@0xQuit) 25 января 2023 г.

Квит объяснил, что злоумышленникам удалось создать фишинговый сайт, который мог просматривать активы NFT, хранящиеся в кошельке Роуз.

Затем эксплуататор установил порядок передачи всех активов Роуза, одобренных в OpenSea, эксплуататору.

Затем Роуз подтвердил вредоносную транзакцию, отмечает Quit.

Связанный: Проект Bluechip NFT Moonbirds подписывает контракт с голливудскими агентами талантов UTA

Между тем, foobar отметил, что большая часть украденных активов была значительно выше минимальной цены, а это означает, что украденная сумма может достигать 2 миллионов долларов.

Выход призвал пользователей OpenSea «убегать» с любого другого веб-сайта, который предлагает пользователям подписать что-то, что выглядит подозрительно.

NFT в движении

Сетевой аналитик «ZachXBT» поделился картой транзакций со своими 350 300 подписчиками в Твиттере, которая показывает, что эксплуататор отправил активы на FixedFloat — криптовалютную биржу на втором уровне биткойнов «Lightning Network».

Затем эксплуататор перевел средства в биткойн (BTC) и, прежде чем внести BTC в миксер биткойнов:

Три часа назад Кевина обманули, чтобы получить NFT на сумму более 1,4 миллиона долларов. Ранее сегодня тот же мошенник украл 75 ETH у другой жертвы.

Сопоставляя это, мы можем увидеть четкую тенденцию отправки украденных средств в FixedFloat и обмена на BTC перед внесением в миксер биткойнов. pic.twitter.com/ZlywPYydwx

— ZachXBT (@zachxbt) 25 января 2023 г.

Участник Crypto Twitter «Degentraland» сказал своим 67 000 подписчиков в Twitter, что это была «самая печальная вещь», которую они видели в пространстве криптовалюты на сегодняшний день, добавив, что если кто-то и может вернуться после такого разрушительного подвига, так это «он»:

Самая грустная вещь, которую я когда-либо видел в криптовалюте. Кошелек @kevinrose опустошен.

Если кто и может вернуться из этого, так это он. pic.twitter.com/HZysg34qji

— Дегентраленд (@Degentraland) 25 января 2023 г.

Между тем, основатель Bankless Райан Шон Адамс был в ярости от того, с какой легкостью удалось эксплуатировать Роуз. В твите от 25 января Адамс призвал фронтенд-инженеров взяться за игру и улучшить взаимодействие с пользователем (UX), чтобы предотвратить подобные мошенничества.

Источник: Сointеlеgrаph