OpenSea Hack: ประเด็นสำคัญเกี่ยวกับความปลอดภัยของ Web3 - BitcoinEthereumNews.com
เทคโนโลยีOpenSea Hack: ประเด็นสำคัญเกี่ยวกับความปลอดภัยของ Web302 / 21 / 2022ข่าว Bitcoin Ethereumประเด็นที่สำคัญ แฮ็กเกอร์ขโมย NFT มูลค่าหลายล้านดอลลาร์จากผู้ใช้ OpenSea ในช่วงสุดสัปดาห์ คิดว่าแฮ็กเกอร์หลอกให้ผู้ใช้อนุมัติธุรกรรมที่ปล่อยให้กระเป๋าเงินของพวกเขาถูกระบายออกผ่านการโจมตีแบบฟิชชิ่งที่ซับซ้อน มีหลายขั้นตอนที่ต้องปฏิบัติตามเพื่อลดโอกาสในการตกเป็นเหยื่อของเหตุการณ์ดังกล่าวใน Web3 แชร์บทความนี้ แฮ็กเกอร์ขโมย NFT มูลค่าหลายล้านดอลลาร์จากผู้ใช้ OpenSea ในช่วงสุดสัปดาห์ เหตุการณ์ดังกล่าวได้เน้นย้ำถึงความสำคัญของการรักษาความปลอดภัยในการปฏิบัติงานใน Web3 OpenSea Hack เน้นความเสี่ยงด้านความปลอดภัย เมื่อวันที่ 19 กุมภาพันธ์ ผู้ใช้ OpenSea หลายคนรายงานว่ากระเป๋าเงินของพวกเขาถูกระบายด้วย NFT อันมีค่าจากคอลเลกชั่น เช่น Bored Ape Yacht Club และ Azuki มูลค่ารวมของการขนส่งอยู่ที่ประมาณ 3 ล้านเหรียญสหรัฐ วันรุ่งขึ้น OpenSea กล่าวว่าเชื่อว่าสาเหตุที่แท้จริงคือการโจมตีแบบฟิชชิงที่มาจาก นอก OpenSea การโจมตีกำหนดเป้าหมายผู้ใช้ 32 ราย เชื่อว่าพวกเขาถูกหลอกให้คลิกลิงก์ที่เป็นอันตรายเพื่อลงนามในสัญญาอัจฉริยะอันธพาลซึ่งอนุญาตให้โอน NFT ของพวกเขาไปยังกระเป๋าเงินอื่น ด้วยเหตุนี้ แฮ็กเกอร์จึงสามารถระบาย NFT ได้มากกว่า 250 รายการภายในเวลาไม่กี่ชั่วโมง OpenSea ใช้ประโยชน์จากลายเซ็นนอกเครือข่ายเพื่อดำเนินการซื้อขายแบบไม่ใช้แก๊สในนามของผู้ใช้ สามารถดำเนินการได้โดยอัตโนมัติ ซึ่งหมายความว่าผู้ใช้ไม่จำเป็นต้องออนไลน์เพื่อกรอกคำสั่งซื้อ NFT คิดว่าแฮ็กเกอร์หลอกล่อเหยื่อให้ลงนามในธุรกรรมกับ Wyvern ซึ่งเป็นโปรโตคอลการแลกเปลี่ยน NFT ที่ใช้โดย OpenSea นักพัฒนา Solidity นามแฝงที่รู้จักกันในชื่อ foobar โพสต์ พายุทวีต หลังจากเหตุการณ์ที่พวกเขากล่าวว่าผู้ที่ตกเป็นเหยื่อได้ลงนามในรหัสที่เป็นอันตรายซึ่งอนุญาตให้แฮ็กเกอร์ระบาย NFTs ไปยัง ที่อยู่เป้าหมาย ที่พวกเขาควบคุม เพื่อโน้มน้าวให้ผู้ที่ตกเป็นเหยื่อลงนามในรหัส เชื่อว่าพวกเขาปลอมแปลงเป็น OpenSea ผ่านอีเมลหรือรูปแบบการสื่อสารอื่นๆ เหตุการณ์ดังกล่าวเน้นย้ำถึงความจำเป็นในการใช้ความระมัดระวังเมื่อลงนามในธุรกรรมสัญญาอัจฉริยะ นอกจากนี้ยังทำหน้าที่เป็นเครื่องเตือนใจถึงความเสี่ยงที่พบในทุกมุมของ Web3 และความสำคัญสำหรับผู้ใช้ในการให้ความรู้เกี่ยวกับภัยคุกคามภายในภูมิทัศน์ที่กำลังพัฒนา เพื่อลดความเสี่ยงที่จะตกเป็นเหยื่อการโจมตีดังกล่าว มีหลายขั้นตอนที่ผู้ใช้ Web3 ที่แอ็คทีฟสามารถใช้เพื่อป้องกันตนเองได้ เพิกถอนสิทธิ์ ในขั้นแรกในการรักษาความปลอดภัย NFT หรือสินทรัพย์ crypto อื่น ๆ สิ่งสำคัญคือต้องรู้วิธีเพิกถอนการอนุญาตที่เกี่ยวข้องกับกระเป๋าเงิน crypto การโจมตีแบบฟิชชิ่งเช่นการแฮ็ก OpenSea เป็นปัญหาหลักเนื่องจากการลงนามเพียงลายเซ็นที่เป็นอันตรายเพียงลายเซ็นเดียวอาจส่งผลให้สูญเสีย NFT ทั้งหมดที่จัดเก็บไว้ในกระเป๋าเงิน หากคุณซื้อขายใน OpenSea และอนุญาตให้ลงนามนอกเครือข่ายกับสัญญา Wyvern Exchange V1 การเพิกถอนการอนุญาตให้ใช้เงินเป็นวิธีหนึ่งในการลดความเสี่ยงที่แฮ็กเกอร์จะระบายเงินในสัญญา ผู้ใช้สามารถเพิกถอนการอนุญาตของกระเป๋าเงินได้โดยไปที่หน้าการอนุมัติโทเค็นบน Etherscan เชื่อมต่อกระเป๋าเงินของพวกเขา และค้นหาการอนุมัติโทเค็นสำหรับแต่ละแอปพลิเคชันที่กระเป๋าเงินโต้ตอบด้วย หลีกเลี่ยงลายเซ็นคนตาบอด หลังจากการแฮ็ก OpenSea หัวหน้าเจ้าหน้าที่ฝ่ายเทคโนโลยีของบริษัท Nadav Hollander กล่าวใน พายุทวีต ลายเซ็นที่ถูกต้องจากเหยื่อถูกใช้ในสัญญา Wyvern V1 (ก่อนที่ OpenSea จะย้ายไปยัง Wyvern V2.3) ผู้ใช้ “ได้ลงนามในคำสั่งซื้อ ณ ที่ใดที่หนึ่ง ณ ช่วงเวลาใดเวลาหนึ่ง” เขากล่าว นี่แสดงให้เห็นว่าผู้ที่ตกเป็นเหยื่ออาจลงนามในสัญญาที่เป็นอันตรายโดยไม่ได้ตั้งใจ ในอดีต การโจมตีแบบฟิชชิ่งแบบเข้ารหัสลับได้หลอกให้ผู้ใช้ป้อนวลีเริ่มต้นของกระเป๋าเงิน ทำให้แฮกเกอร์สามารถเข้าถึงกระเป๋าเงินของพวกเขาและขโมยเงินได้ ในบางกรณี แฮกเกอร์ได้รับอนุญาตให้ใช้จ่ายเงินโดยหลอกล่อผู้ใช้ด้วย airdrops ปลอม เหตุการณ์ล่าสุดของ OpenSea นั้นแตกต่างออกไปเนื่องจากแฮ็กเกอร์พยายามรวบรวมหลายคนพร้อมกัน มันแสดงให้เห็นว่านอกจากจะระมัดระวังกับวลีเริ่มต้นแล้ว ผู้ใช้ยังต้องระมัดระวังในการลงนามข้อความนอกเครือข่ายและโต้ตอบกับสัญญาที่น่าสงสัย เมื่อลงนามแล้ว บุคคลที่สามสามารถใช้เงินในนามของผู้ใช้ได้ แม้ว่าเงินจะเก็บไว้ในกระเป๋าฮาร์ดแวร์ก็ตาม ดังนั้นจึงเป็นสิ่งสำคัญสำหรับผู้ใช้ที่จะต้องระมัดระวังเมื่อดำเนินการลายเซ็นแบบไม่ใช้แก๊สบน OpenSea หรือแอปพลิเคชันอื่นๆ ผู้เชี่ยวชาญบล็อคเชนบางคนไม่แนะนำให้อนุมัติลายเซ็นที่ตาบอดทั้งหมด ลายเซ็นดังกล่าวประกอบด้วย เฉพาะรหัสฐานสิบหกที่แสดงเป็นที่อยู่ Ethereum เท่านั้น พวกเขาไม่ได้ให้รายละเอียดเพิ่มเติมเกี่ยวกับการทำธุรกรรม อย่างไรก็ตาม ลายเซ็น EIP-712 ให้ความชัดเจนมากขึ้น เนื่องจากแสดงข้อมูลธุรกรรมทั้งหมดที่เกี่ยวข้องกับเวลาของคำขอลายเซ็น ต่อ ฮอลแลนเดอร์รูปแบบ EIP-712 ที่มาพร้อมกับสัญญา OpenSea ที่เพิ่งย้ายมาใหม่ทำให้ “ยากขึ้นสำหรับผู้ไม่หวังดีที่จะหลอกให้ผู้อื่นลงนามในคำสั่งซื้อโดยที่ไม่รู้ตัว” ระวังการผสม Web3 และอีเมล ในการเชื่อมต่อกับเหตุการณ์ OpenSea รายงานหลายฉบับเกี่ยวกับแคมเปญอีเมลฟิชชิ่งได้ปรากฏขึ้น คิดว่าแฮ็กเกอร์ส่งอีเมลโดยอ้างว่าเป็น OpenSea เพื่อกระตุ้นให้พวกเขาอนุญาตให้ย้ายรายชื่อ NFT ของตนไปยังสัญญา Wyvern ใหม่ หลังจากคลิกผ่าน ปรากฏว่าผู้ใช้ลงนามในธุรกรรมที่อนุญาตให้แฮ็กเกอร์ระบายกระเป๋าเงินของพวกเขา ขอบคุณการเพิ่มขึ้นของ อีเมลปลอมลึก, แฮกเกอร์พบวิธีส่งอีเมลที่ดูเหมือนโดเมนอีเมลใดๆ ที่พวกเขาชอบ ผู้ใช้ควรระมัดระวังอีเมลทั้งหมดที่ต้องการธุรกรรมจาก MetaMask หรือกระเป๋าเงิน Web3 อื่น ๆ แม้ว่าจะดูเหมือนว่ามาจากแหล่งที่เป็นทางการก็ตาม หนึ่งในเคล็ดลับที่ดีที่สุดในการรักษาความปลอดภัยในการปฏิบัติงานคือการหลีกเลี่ยงการโต้ตอบกับแอปพลิเคชัน Web3 โดยใช้ลิงก์ที่โพสต์ผ่านอีเมลหรือโซเชียลมีเดีย อันที่จริง เป็นการดีที่สุดที่จะหลีกเลี่ยงการคลิกลิงก์ที่เกี่ยวข้องกับ crypto เว้นแต่จะมาจากแหล่งที่เป็นทางการ นอกจากการระมัดระวังเมื่อลงนามในธุรกรรมและหลีกเลี่ยงการโจมตีแบบฟิชชิ่งแล้ว ยังมีขั้นตอนอื่นๆ ที่ผู้ใช้คริปโตสามารถทำได้เพื่อป้องกัน เป็นความคิดที่ดี ตัวอย่างเช่น