Près de 2 millions de dollars en ETH volés aux utilisateurs d’OpenSea lors de la dernière « attaque de phishing »

La plus grande place de marché NFT au monde, OpenSea, a subi un exploit qui a fait disparaître des dizaines de NFT.

La nouvelle est arrivée après une série de tweets de certains des utilisateurs concernés affirmant que certains de leurs NFT auraient disparu après avoir cliqué sur un lien de migration de contrat intelligent.

« Nous enquêtons activement sur les rumeurs d’un exploit associé aux contrats intelligents liés à OpenSea. Cela semble être une attaque de phishing provenant de l’extérieur du site Web d’OpenSea. Ne cliquez pas sur les liens en dehors de http://opensea.io. » Open sea a tweeté peu de temps après les rapports.

Le PDG d’OpenSea, Devin Finzer, a confirmé les plaintes, déclarant que 32 utilisateurs avaient jusqu’à présent signé une charge utile malveillante d’un attaquant, exposant leurs comptes à l’exploit. Finzer, qui a déclaré que l’exploit était une attaque de phishing qui n’était en aucun cas liée au site Web d’OpenSea, a en outre dissipé les informations selon lesquelles les NFT volés étaient évalués à 200 millions de dollars.

« L’attaquant a 1,7 million de dollars d’ETH dans son portefeuille grâce à la vente de certains des NFT volés. » a-t-il écrit.

Samedi, OpenSea avait appelé les utilisateurs à commencer à migrer leurs listes dans le cadre d’une mise à niveau prévue de son contrat intelligent existant vers un nouveau contrat intelligent. Les annonces dépassant la date limite expireraient, obligeant les utilisateurs à réinscrire leurs NFT.

Les experts pensent que l’attaquant prévoyait de profiter de ce cadre de fenêtre pour exécuter l’exploit, car les utilisateurs accordent peu d’attention à la sécurité lorsqu’ils tentent de respecter les délais.

Selon les développeurs d’Isotile, l’attaquant semble avoir planifié l’exploit 28 jours plus tôt en anticipant qu’il collecterait autant de signatures que possible, selon Etherscan.

« Il commence à envoyer des e-mails avec des sites Web de phishing. » a tweeté Isotile. « Ils vous disent de signer un message pour vous connecter/migrer vers le nouveau contrat intelligent Opensea. Au lieu de cela, vous signez une vente privée (0 eth) de vos NFT au pirate. »

Après avoir recueilli suffisamment de signatures juste à temps pour la migration, l’attaquant « exécute la fonction de contrat intelligent pour voler les NFT avant l’expiration de leurs listes. » Il a pu le faire parce qu’il avait ses victimes ‘ signatures stockées sur son serveur.

L’activité des utilisateurs d’OpenSea est en grande partie non censurée, ce qui rend plus difficile pour l’entreprise de contrôler ses activités. Au moment d’écrire ces lignes, la seule mesure pour éviter de nouvelles pertes a été que les utilisateurs restent vigilants et s’abstiennent de signer ou de cliquer sur des liens en dehors de ce qu’OpenSea a défini comme « un clic fait la différence ».