黑客通过一个假冒的YouTube NFT骗局劫持了OpenSea Discord

美国东部时间周五凌晨4:30左右，全球最大的NFT市场OpenSea的官方Discord频道加入了越来越多的NFT社区，这些社区让参与者暴露在网络钓鱼攻击之下。

在这种情况下，一个机器人虚假宣布OpenSea与YouTube合作，诱使用户点击“YouTube Genesis Mint Pass”链接，在100个免费NFT中的一个加入“疯狂实用程序”后，他们将永远消失，并发送一些后续消息。区块链安全跟踪公司PeckShield标记了攻击者链接的URL，“youtubenft[.]艺术”作为一个钓鱼网站，现在不可用。

虽然消息和钓鱼网站已经消失，但一位称自己在事件中丢失了NFT的人指出区块链上的这个地址属于攻击者，因此我们可以看到更多关于接下来发生的事情的信息。虽然该身份在OpenSea的网站上被屏蔽，但通过Etherscan查看。io或与之竞争的NFT市场Rarible显示，在攻击发生前后，有13名NFT从五个来源转移到it。现在，OpenSea也报道了它们的“可疑活动”，根据它们上次出售时的价格，它们的价值似乎略高于18000美元。

这种中间人攻击，即骗子利用NFT交易员，这些交易员希望利用“空投”进行交易，这种攻击在著名的Web3组织中已经很常见。公告突然出现是很常见的，区块链的性质可能会让一些用户有理由先点击，然后再考虑后果。

除了渴望获得稀有物品外，还有一点是，等待可以让你在匆忙中铸造NFT变得更慢、更贵，甚至不可能（如果你在这一过程中耗尽了资金）。如果他们在连接到互联网的热门钱包中留下了任何物品或加密货币，那么向网络钓鱼者提供登录详细信息可能会在几秒钟内泄露出去。

在对的声明中边缘，OpenSea发言人Allie Mack证实了这一事件， “昨晚，一名攻击者在我们的几个Discord频道中发布了恶意链接。我们在发布恶意链接后不久就注意到了这些链接，并立即采取措施纠正这种情况，包括删除恶意机器人程序和帐户。我们还通过推特支持频道提醒我们的社区不要单击我们Discord中的任何链接。我们没有看到任何新的恶意帖子美国东部时间凌晨4:30开始。”

“我们将继续积极调查此次袭击，并将向我们的社区通报任何相关的新信息。我们的初步分析表明，此次袭击的影响有限。我们目前了解到，受影响的钱包和被盗物品不到10件，总计不到10件，”Mack说。

OpenSea没有声明该频道是如何被黑客入侵的，但正如我们在12月份所解释的那样，这种攻击方式的一个切入点是webhooks功能，组织经常使用该功能来控制其频道中的机器人发布帖子。如果黑客获得访问权限或泄露了授权人员的帐户，则他们可以使用该帐户发送一条消息和/或URL，似乎来自官方来源。

最近的攻击包括一次从“珍稀熊”迪斯科偷走价值80万美元的区块链饰品，无聊猿游艇俱乐部宣布其频道已于4月1日被泄露。4月25日，BAYC Instagram充当了一个类似盗窃案的渠道，该案仅通过发送一个网络钓鱼链接就获得了价值超过100万美元的NFT。