全球最大的NFT交易平台OpenSea快速修复了一个威胁用户NFT资产安全的漏洞。此前，有用户在社交媒体推特上称，他们经该OpenSea获得免费空投的NFT后，加密钱包里的资产被盗走。
区块链安全公司CheckPointResearch正是从受害者那获得了漏洞线索，研究人员调查发现，OpenSea上存在安全漏洞，黑客可能利用漏洞发送恶意NFT以劫持用户的OpenSea账户并窃取他们的加密钱包。
该安全公司向OpenSea报告了漏洞，双方在9月底就联手修复了这一漏洞，安全事件隔了20多天才得以对外公布，OpenSea专门开辟了一个博客向用户普及去中心化网络安全常识。
从漏洞及攻击方式看，这是一起典型的「钓鱼攻击」，这种攻击在互联网世界并不陌生，但经过多年的安全实践，互联网已经对此构建起一定的防御手段，用户也有了防御意识。但在新兴的去中心化网络区块链上，「钓鱼」这种古老的攻击的方式仍在横行，并蔓延到了NFT资产领域，它利用的恰恰是用户对区块链基础设施的陌生感。
XRP律师和分析师预测币安和Coinbase将胜诉美SEC:金色财经报道，XRP律师John E. Deaton和ETF行业先驱Dave Nadig与加密分析师The Wolf of All Streets一起讨论美国证券交易委员会 (SEC) 在败诉Ripple和Grayscale Investments后失去信誉的问题。
Deaton表示，币安和Coinbase将胜诉美SEC。Streets表示，美SEC和Gary Gensler在采取类似行动之前会三思而后行，而Grayscale的胜利具有里程碑意义。Deaton声称SEC无法对Grayscale裁决提出上诉，因为他们未能给出拒绝比特币ETF的理由。[2023/9/1 13:10:03]
用户在OpenSea接收NFT空投后钱包被盗
网友在推特上倾诉的加密资产被盗事件引起了区块链安全公司CheckPointResearch的注意。这些加密资产被盗事件有个共同的引子——用户接收了免费的NFT空投后，钱包被洗劫。
Coinbase驳回美SEC诉讼称其远远超出管辖范围:金色财经报道，Coinbase正式向法院提交文件以驳回美SEC诉讼，称该监管机构远远超出了其管辖范围。Coinbase提交的文件称，Coinbase平台和Prime上的交易不是也不涉及交付反映企业收入、利润或资产的未来价值的合同承诺，它们是商品销售，双方的义务在交易完成后完全解除，数字代币的交付是为了换取付款。该文件还指出了SEC最近对Ripple案件的裁决，称与该案件事实基本相同。[2023/8/4 16:19:21]
「当我们在网上看到有关被盗加密钱包的传闻时，我们对OpenSea产生了兴趣。我们推测，OpenSea周围存在一种攻击方法，因此我们对它进行了彻底调查。」CPR的产品漏洞研究主管OdedVanunu回忆了一个月前的研究经历。
在与受害用户取得联系并详细询问后，CPR识别出OpenSea上存在的关键漏洞，证明恶意NFT投放者可利用漏洞劫持用户的OpenSea账户并窃取用户的加密钱包。
律师：美SEC&Ripple诉讼案简易判决或在本周宣布:3月27日消息，美国SEC和Ripple Labs之间旷日持久的法律斗争正在等待美国地方法院宣布一项简易判决。这场诉讼中的法庭之友律师John Deaton表示，法官的裁决将在未来几周内公布，而本周可能会宣布一项简易判决。这一声明是在Ripple和被告提交了一份补充授权的书面通知以支持公平通知辩护时发布的。
Deaton律师补充说，在目前的节点上瑞波币拥有最具吸引力的风险/回报比。如果法院做出了对Ripple有利的裁决，那么很明显，XRP不是一种证券，这将大大影响其价格。（Coin Gape）[2023/3/27 13:29:16]
美SEC指控一美国公民操纵MNGO代币并窃取1.16亿美元的加密资产:1月21日消息，美国证券交易委员会（SEC）周五向曼哈顿联邦地区法院提起诉讼，指控 Avraham Eisenberg 通过操纵Mango Markets 的治理代币 MNGO 窃取了 1.16 亿美元的加密资产。指控 Eisenberg 违反了证券法的反欺诈和市场操纵规定，并寻求永久禁令救济、基于行为的禁令、没收财产和判决前利息以及民事处罚。Eisenberg是一名 27 岁的美国公民，他在波多黎各 MDC Guaynabo 被捕并被拘留，正在等待转运到纽约南区，在那里他将面临司法部和商品期货交易委员会（CFTC）提出的刑事和民事指控。[2023/1/21 11:25:13]
用户在查看恶意NFT?时可能会看到的确认选择
CPR推导出利用漏洞的步骤——黑客创建恶意NFT并将其赠送给目标受害者；受害者查看恶意NFT后，OpenSea的存储域会触发弹出窗口(此类弹窗在该平台的各种活动中很常见)，请求连接到受害者的加密资产钱包上；受害者如果为了获得这些「免费的NFT」与之交互，就要点击「连接钱包」，一旦此操作执行，黑客就获得了访问受害者钱包的权限；利用触发其他弹窗这一方式，黑客就可以不断窃取用户钱包中的资产。
现场 | 民生银行总行贾凤军：区块链的革命性在现阶段被夸大了:金色财经现场报道，在今日举办的金融界2018夏季达沃斯之夜＋区块链思享会上，在“区块链＋金融的深度融合”主题互动讨论中，民生银行总行贾凤军认为，区块链技术并不复杂，但很难被用起来的原因是，现有的技术能够满足用户需求。他认为，区块链可能是革命性的，但目前阶段被夸大了。任何技术都无法解决金融风险，它根植于人性等，因素复杂。区块链用友企业金融云副总裁方云认为，如果需要同时解决溯源、同步、互信三个问题，区块链是很好的技术，如果只解决其中一个问题，则不需要区块链。运用区块链技术，债券可以数字化，并能够无限切割，不需要确权，因为数据真实，这样就能解决中小企业融资难的问题。但金融领域对于交易速度要求极高，区块链交易的速度目前远则达不到金融交易标准。[2018/9/17]
由于这些弹窗是从OpenSea的存储域发出的，因此CPR也就锁定了该平台的漏洞源头。如果用户没有注意到描述交易的弹窗中的注释，他们很可能点击弹窗，最终导致整个加密钱包被盗。
CPR识别并推导出了漏洞及利用路径，但OpenSea在后续针对此漏洞的声明中称，无法确定任何利用此漏洞的实例。
CPR表示，9月26日，他们向OpenSea披露了调查结果，对方响应迅速并共享了包含来自其存储域的iframe对象的svg文件，因此CPR可以一起审查并确保关闭所有攻击媒介。在不到1个小时时间里，OpenSea修复了该漏洞并验证了修复。
OpenSea的声明显示，这些攻击依赖于用户通过第三方钱包为恶意交易提供签名来批准恶意活动，修复漏洞后，他们已经与和平台集成的第三方钱包直接协调，以帮助用户更好地识别恶意签名请求，以及帮助用户阻止和网络钓鱼的举措攻击。「我们还围绕安全最佳实践加倍进行社区教育，并启动了一个关于如何在去中心化网络上保持安全的博客系列。我们鼓励新用户和经验丰富的老手阅读该系列。我们的目标是让社区能够检测、减轻和报告区块链生态系统中的攻击，例如CPR所展示的攻击。」
别将钱包轻易与陌生网址相连
这已经不是第一起发生在NFT资产领域的安全事件，受害者也不仅是普通用户，但更集中在普通用户群体中，因为无论是平台还是项目方的的NFT资产被盗，都会影响到普通用户的收益。
仅今年3月就发生了两期知名度较高的NFT资产被盗事件。
先是3月15日，社交NFT代币平台Roll的热钱包被盗，黑客从中盗取了部分WHALE和SKULL等NFT社交代币，其中部分资金随后被转移到交易混合器Tornado。据分析称，攻击者在此过程中净赚了约570万美元的ETH。受影响的社交代币价格大幅下跌。
紧接着的3月17日，NFT交易市场NiftyGateway的数名用户遭遇了账号被盗，有受害者称，黑客从其帐户中窃取了价值数千美元的数字艺术品；其他被黑客入侵的用户称，他们存档的信用卡被用来购买额外的NFT。NiftyGateway后续的声明中提到，遭遇盗号的账户因没有启用双因素认证，而黑客通过有效账号的认证信息获得了访问权限。
在非同质化代币NFT越来越多的与收藏品、有价值的加密资产相连时，黑客的罪恶之手正在伸向NFT持有者的钱包，这也再次反映了NFT依托的区块链网络安全性的脆弱。
有经验的用户曾总结过NFT的攻击向量，比如，黑客对你的电脑植入木马病文件，盗取你的登录信息和其他资料；或者通过恶意软件记录键盘输入，窃取你的密码；抑或通过恶意软件来获取屏幕截图，从而获得敏感信息；黑客还可能通过劫持DNS，创建钓鱼页面，取用户钱包的助记词。
这样看下来，这些攻击手段与黑客攻击互联网时所用的方式并无多大差异，但在互联网应用上，用户已经从自己或别人的经验中获得了一些防御意识，比如，不随便点开陌生链接。但在使用区块链网络和加密钱包时，一些用户变成了「常识归零」的状态，这与用户对加密资产及区块链基础的陌生感有关，也再次说明区块链基建在普及层面的不成熟。
普通用户似乎只能从一起起的安全事故中去学习防范技能，普及安全常识也成为加密社区致力做的工作之一。
NFT创作者和收藏家JustinOuellette就曾在推特上科普过NFT资产的保护措施，「不要在多个平台上重复使用相同相同的密码；要学会启用双因素认证；要小心那些最小化元蒙版UI的网站；不要透露你的助记词给任何人。」
资产被盗还仅仅是NFT安全的一个层面。近期，华中科技大学区块链存储研究中心和HashKeyCapitalResearch对NFT的研究报告显示，NFT系统是由区块链、存储和网络应用集合而成的技术，其安全保障具有一定的挑战性，每一个组成部分都有可能成为安全的短板，致使整个系统受到攻击，仿冒、篡改、抵赖、信息泄露、拒绝服务和权限提升等方面都是NFT系统存在的风险可能。
在安全之路上，NFT要走的道路还很远。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。