钓鱼攻击威胁NFT资产安全

2022年世界杯南美洲预选「xuan」赛赛程www.9cx.net)实时更新比分2022年世界杯南美洲预选赛赛程数【shu】据,2022年世界杯南美洲预选赛赛程全程高清免费不卡顿,100%原生直播,2022年世界杯南美洲预选赛赛程这里都有。给你一个完美的观赛体验。

全球更大的NFT交易平台OpenSea快速修复了一个威胁用户NFT资产安全的漏洞。此前,有用户在社交媒「mei」体推特上称,他们经该OpenSea获得免费空投的NFT后,加密钱包里的资产被盗走。

区块链安全公司Check Point Research正是从受害者那获得了漏洞线索,研究人员调查发现,OpenSea上存在安全漏洞,黑客可能利用漏洞发送恶意NFT以劫持用户的OpenSea账“zhang”户并窃取他们的加密钱包。

该安全公司向OpenSea报告了漏洞,双方在9月底就联手修复了这一漏洞,安全事件隔了20多天才得以对外公布,OpenSea专门开辟了一个博客向(xiang)用户普及去中心化 *** 安全常识。

从漏洞及「ji」攻击方式看,这是一起典型的「钓鱼攻击」,这种攻击在互联网世界并不陌生,但经过多年的安全实践,互联网已经对此构建起一定的防御手段,用户也有了防御意识。但在新兴的去中心化 *** 区块链上,「钓鱼」这种古老的攻击的方式仍在横行,并蔓延到了NFT资产领域,它利用的恰恰是用户对区块链基础设施的陌生感。

用户在OpenSea接收NFT空投后钱包被盗

网友在推特上倾诉的加密资产被盗事件引起了区块链安全公司Check Point Research(以下简称CPR)的注意。这些加密资产被盗事件有个共同的引子——用户接收了免费的NFT空投后,钱包被洗劫。

「当我们在网上看到有关被盗加密钱包的传 chuan[闻时,我们对 OpenSea 产生了兴趣。我们推测, OpenSea 周围存在一种攻击方法,因此我们对它进行了彻底调《diao》查。」CPR的产品漏洞研究主管 Oded Vanunu 回忆了一个月前的研究经历。

在与受害用户「hu」取得联系并详细询〖xun〗问后,CPR识别出OpenSea上存在的关键漏洞,证明恶意NFT投放者可利用漏洞劫持用户的OpenSea账户并窃取用户的加密钱包。

CPR推导出利用漏洞的步骤——黑客创建恶意NFT并将其赠送给目标受害者;受害者查看恶意NFT后,OpenSea的存储域会触发弹出窗口(此类弹窗在该平台的各种活动中很常见),请求连接到受害者的加密资产钱包上;受害者如果为了获得这些「免费的NFT」与之交互,就要点击「连接钱包」,一旦此操作执行,黑客就获得了访问受害《hai》者钱包的权限;利用触发其他弹窗这一方式,黑客就可以不断窃取用户钱包中的资产。

由于这些弹窗是从OpenSea的存储域发出的,因此CPR也就锁定了该平《ping》台的漏洞源头。如果用户没有注意到描述交易的弹窗中的注释,他们很可能点击弹窗,最终导致整个加密钱包被盗。

CPR识别并推〖tui〗导出了漏洞及利用路径,但OpenSea在后续针对此漏洞的声明中称,无法确定任何利用此漏洞的实例。

,

2022世界杯皇冠网址www.9cx.net)实时更新比分2022世界杯皇冠网址数据,2022世界杯皇冠网址全程高清免费不卡顿,100%原生直播,2022世界杯皇冠网址这里都有。给你一个完美的观赛体验。

,

CPR表示,9月26日(ri),他们向OpenSea披露了调查结果,对方响应迅速并共享了包含来自其存储域的 iframe 对象的 svg 文件,因此CPR 可以一起审查并确保关闭所有攻击媒介。在不到1个小时时间里,OpenSea修复了该漏洞并验证了修复。

OpenSea的声明显示,这些攻击依赖于用户通过第三方钱包为恶意交易提供签名来批准恶意活动,修复漏洞后(hou),他们已经与和平台集成的第三方钱包直接协调,以帮助用户更好地识别恶意《yi》签名请求,以及帮助用户阻止诈骗和 *** 钓鱼的举措攻击。「我们还围绕安全更佳实践加倍进行社区教育,并启动了一个关于如何在《zai》去中心化 *** 上保持安全的博客系列。我们鼓励新用户和经验丰富的老手阅读该系列。我们的目标是让社区能够检测、减轻和报告区块链生态系统中的攻击,例如 CPR 所展示的攻击。」

别将钱包轻易与陌生网址相连

这已经不是第一起发生在NFT资产领域的安全事件,受害者也不仅是普通用户,但更集中在普通用户群体中,因为无论是平台还是项目方的的NFT资产被盗,都会影响到普通用户的收益。

仅今年3月就发生了两期知名度较高的NFT资产被盗事件。

先是3月15日,社交NFT代币平台Roll的热钱包被盗,黑客从中盗取了部分WHALE和 SKULL等NFT社交代币,其中部分资金随后被转移到交易混合器Tornado。据分析称,攻击者在此过程中净赚了约570万美元的ETH。受影响的社交代币价格大幅下跌。

紧接着的3月17日,NFT交易市场Nifty Gateway的数名用户遭遇了账号被盗,有受害者称,黑客从其帐户中窃取了价值数千‘qian’美元的数字艺术品;其他被黑客入侵的用 yong[户称,他们存档的信用卡被用来购买额外的NFT。Nifty Gateway后续的声明中提到,遭遇盗号的账户因没有启用双因素认证(采用两种信息来认证本人身份,一般是采用的密码和动态口令的组合),而黑客通过有效账号的认证信息获得了访问权限《xian》。

在非同质化代币NFT越来越多的与收藏品、有价值的加密资产相连时,黑客的罪恶之手正在伸向NFT持「chi」有者的钱包,这也再次反映了NFT依托的区块链 *** 安全性的脆弱。

有经验的用户曾总结过NFT的攻击向量,比如,黑客对你的电脑植入木马病毒{du}文件,盗取你的登录信息和其他资料;或者通过恶意软件记录键盘输入,窃取你的密码;抑或通过恶意软件来获取屏幕截图,从而获得敏感信息;黑客还可能通过劫持DNS,创建钓鱼页面,骗取用户钱包的助记词。

这样看下来,这些攻击手段与黑客攻击互联网时所用的方式并无多大差异‘yi’,但在互联网应用上,用户已经从自己或别人的经验中获得了一些防御意识,比如,不随便点开陌生链接。但在使用区块链 *** 和加密钱包时,一些用户 hu[变成了「常识归零」的状态,这与用户对加密资产及区块链基础的陌生感‘gan’有关,也再次说明区块链基建在普及《ji》层面的不成熟。

普通用户似乎只能从一起起的安全事故中去学习防范技能,普及安全常识也成为加密社区致力做的工作之一。

NFT创作者和收藏家Justin Ouellette就曾在推特上科普过NFT资产的保护措施,「不要在多个平台上重复使用相同相同的密码;要学会启用双因素认证;要小心那些最小化元蒙版UI的网站(往往是钓鱼网站和木马软件);不要透露你的助记词给任何人。」

资产被盗还仅仅是NFT安全的一{yi}个层面。近期,华中科技大学区块链存储研究中心和 HashKey Capital Research对NFT的研究报告显示,NFT 系统是由区块链、存储和 *** 应用 *** 而成的技术,其安全保障具有一定的挑战性,每一【yi】个组成部分都【du】有可能成为安全的短板,致使整(zheng)个系统受到攻击,仿冒(Spooling)、篡改(Tampering)、抵赖(Repudiation)、信息泄露(Information Disclosure)、拒绝服务(Dos)和权限提升(Elevation of privilege)等方面都是NFT系统存在的风险可能。

在安全之路上,NFT要走的道路还很远。

查看更多 ,

新2备用网址www.22223388.com)是一个开放新2网址即时比分、新2网址 *** 最新登录线路、新2网址会员最新登录线路、新2网址 *** APP下载、新2网址会员APP下载、新2网址线路APP下载、新2网址电脑版下载、新2网址手机版下载的新2新「xin」现金网平台。新2网址登录线路最新、新2皇冠网址更新最快,皇冠体育APP开放皇冠会员注册、皇冠 *** 开户等业务。
皇冠正网 钓鱼攻击威胁NFT资产安全 第1张

  • 评论列表:
  •  usdt提币手续费最低(www.usdt8.vip)
     发布于 2021-11-10 00:02:11  回复
  • 远超预期
    •  aLLbet官网(www.aLLbetgame.us)
       发布于 2021-11-10 02:00:28  回复
    • 皇冠足球appwww.huangguan.us)是一个开放皇冠即时比分、代理最新登录线路、会员最新登录线路、皇冠代理APP下载、皇冠会员APP下载、皇冠线路APP下载、皇冠电脑版下载、皇冠手机版下载的皇冠新现金网平台。皇冠官网平台上登录线路最新、新2皇冠网址更新最快,皇冠体育APP开放皇冠会员注册、皇冠代理开户等业务。

      很棒啊这个

添加回复:

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。