OPEN:“OpenSea漏洞事件”致使大量NFT被竊取，多方分析疑為網絡釣魚攻擊

2月20日上午，“OpenSea新遷移合約疑似出現bug導致大量高價值NFT被竊取”一事引發熱議。

據多個推特KOL反映稱，該事件起因是OpenSea昨日推出的新遷移合約疑似出現BUG，攻擊者利用該BUG竊取大量NFT并賣出套利，失竊NFT涵蓋BAYC、BAKC、MAYC、Azuki、CoolCats、Doodles、Mfers等多種高價值系列。

新遷移合約，是OpenSea發布的一項新升級。昨日，OpenSea宣布其智能合約升級已完成，新的智能合約已經上線，用戶遷移智能合約需簽署掛單遷移請求，簽署此請求不需要Gas費，無需重新進行NFT審批或初始化錢包。在遷移期間，舊智能合約上的報價將失效。英式拍賣將于合約升級完成后暫時禁用幾個小時，新合約生效后，可以再次創建新的定時拍賣。現有智能合約的荷蘭式拍賣將于北京時間2月26日3時在遷移期結束時到期。

0N1 Force推出Beta版本積分系統“ON1 Force Point System”:金色財經報道，NFT項目0N1 Force官推宣布推出Beta版本積分系統“ON1 Force Point System”，允許用戶通過將0N1 Force作為自己的X (Twitter) 個人資料圖片來賺取忠誠積分，該忠誠度積分與錢包地址掛鉤，每12小時分配一次積分。此外，0N1 Force還引入了排名機制，用戶不僅可以跟蹤自己獲得的積分，還可以檢查自己與其他用戶相比的排名。[2023/8/3 16:15:27]

推特KOL“Jon_HQ”在推文中指出，攻擊者總共花費了750美元的gas費，沒有支付ETH購買，但獲得了4個Azukis、2個Coolmans、2個Doodles、2個KaijuKings、1個MAYC、1個CoolCat、1個BAYC……

Babylon推出“Open Gallery” 開放圖庫服務:金色財經報道 Babylon宣布推出“Open Gallery” 開放圖庫服務，世界各地的任何藝術家都可以在以前僅策劃的平臺上展示和銷售他們的作品，不過用戶先創建一個Babylon賬號并通過驗證，一旦通過驗證，他們就可以根據自己的條件自由創建、設置和安排空投。需要注意的是，在Babylon上架作品會被收取5%的上市費用，藝術家也可以支付超過最低5%的費用以更加突出地展示作品，從而提高其知名度和銷售潛力。[2023/4/5 13:45:42]

Otherside：共有7200多名Voyager和受邀者參與“Otherside:2nd Trip”:金色財經報道，Yuga Labs元宇宙項目Otherside昨日開啟了“Otherside:2nd Trip”活動。Otherside表示，此次活動共有7200多名Voyager和受邀者參與。

此前消息，Yuga Labs宣布“Otherside:2nd Trip”活動暫定于3月25日上線。據介紹，Voyagers將能在Trip（旅行）開始前15分鐘進入體驗，Otherdeeds NFT持有者將有機會參加此次活動。2nd Trip可以通過邀請參與，未來幾周將提供更多關于Guest Pass（訪客通行證）如何運作的細節。

一旦2nd Trip達到容量，玩家將無法再加入體驗。Voyagers將優先于訪客通行證進入體驗，參加2nd Trip的旅行者將有資格獲得FIRST TRIP Obelisk碎片。[2023/3/26 13:27:00]

Mr.Whale也在推特上表示，Opensea“漏洞利用”可以允許用戶出售、竊取任何用戶的任何NFT，損失已超過2億美元。

PROOF推出Web3創作者加速計劃“Outliers”:3月25日消息，NFT項目Moonbirds母公司PROOF在社交媒體宣布推出Web3創作者加速計劃“Outliers”，旨在支持“嘗試突破技術障礙并通過其藝術作品進行創新”的創作者，據悉首批入圍2023春季隊列的創作者共有15個，包括Terrell Jones、Alien Queen、Patrick Amadon等。[2023/3/25 13:25:50]

隨后，就在眾人熱議之際，“OpenSea事件”的發展出現了轉折，攻擊似乎并非BUG導致。

gmDAO創始人Cyphr.ETH發推表示，黑客使用了標準網絡釣魚電子郵件復制了幾天前發生的“正版OpenSea”電子郵件，然后讓一些用戶使用WyvernExchange簽署權限。OpenSea未出現漏洞，只是人們沒有像往常一樣閱讀簽名權限。

安全公司PeckShield也表示，雖然未經證實，但Opensea黑客很可能是網絡釣魚。用戶按照網絡釣魚郵件中的指示授權“遷移”，而這種授權很不幸地允許黑客竊取有價值的NFTs……

以太坊智能合約編程語言Solidity的開發者foobar則分析稱?，黑客使用30天前部署的一個助手合約，調用4年前部署的一個操作系統合約，使用有效的atomicMatch()數據。這可能是幾個星期前的典型網絡釣魚攻擊。而不是智能合約漏洞，代碼是安全的。

截止目前，OpenSea官方已針對此事展開調查，并發布推特回應稱?：“我們正在積極調查與OpenSea智能合約有關的傳聞。這看起來像是來自OpenSea網站外部的網絡釣魚攻擊。不要點擊http://opensea.io之外的任何鏈接。”

根據多位推特KOL和官方聲明，本次漏洞事件原因基本上應該是外部網絡釣魚攻擊所致。但是也出現了一些不同的聲音。

譬如，OracleHawk首席執行官JacobKing就在推特上發了一張代碼截圖并認為?：“OpenSea現在撒謊并聲稱該漏洞實際上只是人們收到的網絡釣魚電子郵件。這100%不是真的，而是他們代碼中的一個缺陷導致了歷史上最大的NFT漏洞利用之一。”

此次漏洞事件最終原因是什么，我們仍需等待OpenSea的調查結果。巴比特持續關注中。

Tags：OPENPENSEAENSOpen CampusOPENAIERCSEAMLESS幣Genshiro

瑞波幣