三分鐘看懂NFT空投新騙局：通過虛假WETH報價盜取資產_NFT

原文作者：NFT&MEV開發者0xfoobar

原文編譯：DeFi之道

“我的錢包突然獲得了一個未知NFT收藏品的空投，然后有人提供了1WETH的報價。這是怎么回事？接受它安全嗎？”

長話短說，這些都是騙局，你無法通過交互獲利。現在，讓我們來了解一下這些騙局的原理！

OpenSea的工作方式是通過“授權”來轉移你的NFT或WETH，而“授權”是你直接在代幣合約上調用的特殊智能合約功能。它說：

“代幣合約，請允許這個市場合約使用的我的資金或JPG。”

摩根大通：美聯儲下周加息100個基點的概率不到三分之一:金色財經報道，摩根大通首席美國經濟學家Michael Feroli表示，美聯儲官員下周開會時不太可能將利率提高100個基點。他在周三給客戶的一份報告中稱，提高100個基點的可能性低于三分之一，“優秀的司機不會在接近目的地時加快速度”。

Feroli表示，上調100個基點意味著美聯儲基準利率見頂的位置會比5%還高，“我們對此表示懷疑”。他還警告說，現在加大貨幣政策剎車力度可能加強對美聯儲在2023年降息的押注。這將使美聯儲通過放寬金融條件來應對價格壓力的工作變得更加困難。（彭博社）[2022/9/15 6:57:03]

這是危險的！但僅限于一個方向。如果市場是惡意的，那它就可以竊取你的資金和JPG。但是，如果資金/JPG是惡意的，那他們“就無法”竊取你的市場。

安永：近三分之一的對沖基金經理計劃投資加密貨幣:金色財經報道，根據安永的一項研究，31% 的對沖基金經理和 24% 的另類投資者計劃將加密貨幣添加到他們的投資組合中，根據這項研究，最大公司的經理監管超過 100 億美元的對沖基金或投資 20 億至 100 億美元的投資者，最有可能計劃進入加密領域。在接受安永研究采訪的另類基金經理和投資者中，只有 7% 表示他們或他們的公司已經在他們的投資組合中擁有“加密相關資產”。（decrypt）[2021/11/22 7:04:49]

設計不佳的市場可能會存在一個漏洞，允許一個已授權的集合竊取另一個已授權的集合。這就是為什么我們要只使用健壯的、經過良好測試的網站。

動態 |約三分之一英國企業上月受到惡意挖礦軟件攻擊:據coindesk消息，根據一項新的研究顯示，幾乎三分之一的英國企業表示他們在上個月內受到了加密貨幣挖掘惡意軟件的攻擊。[2018/8/15]

下面是利用opensea使用的舊Wyvern合約進行攻擊的示例：

因此，你只能通過調用資金/JPG合約來批準使用資金/JPG的外部合約。

而不是通過調用一個外部合約。

這就是為什么理論上與惡意合約交互是“安全的”，前提是你的交易直接進入惡意合約，并且你沒有將任何原始ETH發送到payable函數。

但請注意，不要自己嘗試這種危險操作。

當然，當人們認為他們正在與外部合約交互，但實際上正在與他們的資金/JPG合約交互時，就會發生危險。

會有一個網站跳出來跟你說：“點擊此處以激活你的猿猴”，但錢包交易說的實際是“SETAPPROVALFORALL”。

在醉酒/興奮/昏昏欲睡/fomo等情緒組合的影響下，人們就會簽名將他們的畢生積蓄拱手讓給他人。

那么，如果黑客無法控制你的錢包或資產，這些虛假的NFT報價游戲的計劃是什么呢？

惡意行為者使用了幾種攻擊計劃：

當你批準opensea市場合約以使用你的NFT，然后嘗試接受該報價時，報價接受將會恢復。錯誤消息會包含一個URL，如果你訪問該網站，它會試圖讓你簽署一筆惡意交易。

NFT是一種代理合約，它可以在之后替換為不同的實現邏輯。

以下是一個從260個不同地址接收dust粉塵交易的地址，其中每個地址都創建了一個代理合約，以偽裝成一個唯一的集合。

這些不良行為者的命中率很低，因此為了gas優化，他們將使用具有重NFT代碼邏輯的單個實現合約，并部署許多看似獨立集合的輕量級代理。

這里有更多關于代理模式的內容。

一些人認為，最近的NFT代理部署者開發了秘密功能，如果你在代理上調用approve，那他就可以竊取你的所有NFT。

出于上述的原因，這似乎是完全錯誤的。

gas優化是最可能的代理使用假設。

OpenSea前端在它調用的集合功能方面相當封閉，因此大多數虛假的WETH報價，只是為了引誘你去一個釣魚網站。

總結一下：

虛假WETH報價將允許你批準該NFT的銷售，但在你嘗試接受報價時，交易會恢復。這會導致你浪費了gas手續費，同時又在Etherscan上revert消息引誘你進入釣魚網站。

請保護好自己的錢包安全！

Tags：NFTETHOpenSeaOPENNFTT幣GETHBOpenSeaOPEN價格

狗狗幣