Pelaku jahat memanfaatkan proses peningkatan kontrak pintar di pasar OpenSea NFT untuk melakukan serangan phishing terhadap 17 penggunanya yang mengakibatkan pencurian aset virtual senilai sekitar $1,7 juta.
NFT, kependekan dari non-fungible token, adalah token digital yang bertindak seperti sertifikat keaslian untuk, dan dalam beberapa kasus mewakili kepemilikan, aset yang berkisar dari ilustrasi mahal hingga barang koleksi dan fisik.
Penipuan rekayasa sosial yaitu menipu pengguna dengan menggunakan email yang sama dari OpenSea yang memberi tahu pengguna tentang peningkatan, dengan email peniru mengarahkan korban ke halaman web yang mirip, mendorong mereka untuk menandatangani transaksi yang tampaknya sah, hanya untuk mencuri semua NFT.
"Dengan menandatangani transaksi, permintaan atomicMatch_ akan dikirim ke kontrak penyerang," jelas peneliti Check Point. "Dari sana, atomicMatch_ akan diteruskan ke kontrak OpenSea," yang mengarah ke transfer NFT dari korban ke penyerang.
Migrasi kontrak pintar "Wyvern" OpenSea, yang dimulai pada 18 Februari selama periode tujuh hari hingga 25 Februari pukul 14:00 ET, adalah bagian dari upaya perusahaan yang berbasis di New York City untuk mengatasi daftar lama yang tidak aktif di block chain Ethereum.
Perusahaan mengatakan masih menyelidiki sumber pasti serangan itu, mencatat bahwa perintah jahat telah ditandatangani oleh para korban sebelum OpenSea melakukan migrasi. "Serangan itu tampaknya tidak aktif saat ini. Tidak ada aktivitas pada kontrak jahat dalam >15 jam," kata OpenSea dalam pembaruannya.
“Menandatangani transaksi mirip dengan memberi seseorang izin untuk mengakses semua NFT dan cryptocurrency Anda,” kata Check Point. "Inilah mengapa penandatanganan sangat berbahaya. Perhatikan di mana dan kapan Anda menandatangani transaksi."
Perkembangan ini juga terjadi ketika penjahat dunia maya mengeksploitasi pertumbuhan popularitas NFT untuk mengelabui korban agar mengunduh malware trojan akses jarak jauh BitRAT yang mampu mencuri kredensial browser, menambang cryptocurrency, dan mengumpulkan informasi sensitif.