新しい NFT エアドロップ詐欺を 3 分で理解する: 偽の WETH 見積もりを介して資産を盗む

DeFi之道

2022-05-31 13:00

本文约1241字，阅读全文需要约5分钟

未知のNFTエアドロップには注意してください。空から降ってくるものは罠である可能性があります。

原文の編集: The Way of DeFi0xfoobar

原文の編集: The Way of DeFi

「突然、私の財布に未知の NFT コレクションがエアドロップされました。そして誰かが 1 WETH でオファーを出しました。何が起こっているのですか? それを受け入れても安全ですか?」

簡単に言えば、これらは詐欺であり、やり取りから利益を得ることはできません。では、これらの詐欺がどのように行われるかを理解しましょう。

OpenSea の仕組みは、トークンコントラクト上で直接呼び出す特別なスマートコントラクト機能である「承認」を通じて NFT または WETH を転送することです。それは言う：

「トークン契約、私の資金または JPG がこの市場契約で使用されることを許可してください。」

これは危険です！ただし一方向のみ。マーケットプレイスが悪意のあるものである場合、資金や JPG が盗まれる可能性があります。ただし、ファンドや JPG が悪意のあるものであれば、市場を盗むことは「できません」。

不適切に設計されたマーケットプレイスには、ある承認されたセットが別の承認されたセットを盗むことを可能にする抜け穴がある可能性があります。そのため、当社では堅牢で十分にテストされたサイトのみを使用します。

以下は、opensea で使用されている古い Wyvern コントラクトを使用した攻撃の例です。

したがって、資金/JPG 契約を呼び出すことによってのみ、資金/JPG を使用する外部契約を承認できます。

外部契約を呼び出すのではなく。

これが、トランザクションが悪意のあるコントラクトに直接送信され、生の ETH を支払い機能に送信しない限り、理論上は悪意のあるコントラクトと対話することが「安全」である理由です。

ただし、この危険な操作を自分で試さないように注意してください。

もちろん、人々が外部コントラクトとやり取りしていると思っていても、実際にはお金/JPG コントラクトとやり取りしている場合、危険が発生します。

ウェブサイトがポップアップして「ここをクリックして ape をアクティベートします」と表示されますが、ウォレットのトランザクションには実際には「SET APPROVAL FOR ALL」と表示されます。

酔っている/ハイになっている/眠い/フォモの組み合わせの影響を受けて、人々は自分の人生の貯蓄を他の人に寄付するために登録します。

それでは、ハッカーがあなたの財布や資産を制御できない場合、これらの偽のNFTオファーゲームの計画は何ですか？

悪意のある攻撃者は、次のようないくつかの攻撃スキームを使用しました。

NFT を使用するための opensea マーケット契約を承認し、そのオファーを受け入れようとすると、オファーの受け入れが再開されます。エラーメッセージには、Web サイトにアクセスすると、悪意のあるトランザクションに署名させようとする URL が含まれています。
NFT は一種のプロキシコントラクトであり、後で別の実装ロジックに置き換えることができます。

以下は、260 の異なるアドレスからダストトランザクションを受信するアドレスです。各アドレスは、一意のコレクションを装う代理契約を作成しました。