Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 

De la Théorie à la pratique











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

Une nouvelle attaque de phishing qui a visé la place de marché pour les NFT OpenSea a conduit au vol de millions de dollars en NFT

février 2022 par Check Point

Il y a quelques jours, OpenSea a publié un article sur la migration des contrats. L’idée derrière la migration d’OpenSea est de traiter les listes inactives existantes des anciens NFT, et pour ce faire, ils prévoient de passer à un nouveau contrat. Tous les utilisateurs devront "migrer" leurs listings sur Ethereum vers le nouveau contrat intelligent.

Ils ont ainsi envoyé des instructions, que vous pouvez trouver ici : https://support.opensea.io/hc/en-us...

Certains pirates ont alors profité du processus de mise à niveau et ont décidé d’escroquer les utilisateurs de NFT en utilisant le même mail que celui d’OpenSea et en le renvoyant aux victimes d’OpenSea.

Le déroulement de l’attaque est le suivant :

1. La victime clique sur un lien malveillant dans l’e-mail de phishing.
2. Le lien ouvre un site de phishing et demande à la victime de signer une transaction.
3. En signant la transaction, une requête atomicMatch_ est envoyée à 0xa2c0946ad444dccf990394c5cbe019a858a945bd (contrat de l’attaquant).
4. L’attaquant transmet ensuite la requête à atomicMath à 0x7be8076f4ea4a4ad08075c2508e481d6c946d12b (contrat OpenSea).
5. OpenSea Contract vérifie tous les paramètres de la transaction et exécute la transaction car tout est signé par la victime et approuvé.
6. Le contrat OpenSea communique avec les contrats NFT et transfère le NFT de la victime à l’attaquant selon les paramètres atomicMatch.

Comment rester en sécurité ?

1. De nombreux sites web demandent un accès permanent à vos NFT en vous envoyant une transaction à signer. Cette transaction permet aux sites web/projets d’accéder à tout moment à vos NFT, à moins que vous ne désapprouviez la transaction en cliquant sur le lien suivant : https://etherscan.io/tokenapprovalc....
2. Signer une transaction revient à donner à quelqu’un la permission d’accéder à tous vos NFT et crypto-monnaies. C’est pourquoi la signature est très dangereuse. Faites très attention à l’endroit et au moment où vous signez une transaction.
3. Les e-mails de phishing peuvent être très finement réalisés. Nous vous déconseillons de cliquer sur les liens contenus dans les e-mails, quel que soit l’expéditeur. Essayez toujours de trouver les mêmes informations sur le site Web du fournisseur.




Voir les articles précédents

    

Voir les articles suivants