有爆料稱，上周六，NFT 交易平臺 OpenSea 的用戶被攻擊者竊取了數百個 NFT，此事件在該網站廣大用戶群中引發了深夜恐慌。大約 3 個小時內，共有 254 枚代幣被盜，Opensea 聯合創始人兼首席執行官德文·芬澤（Devin Finzer）稱該網站目前良好，并表示“據我們所知，受影響的人是‘網絡釣魚攻擊’的受害者。”
區塊鏈安全服務機構 PeckShield 編制的一份電子表格統計了攻擊過程中被盜的 254 枚代幣，其中包括 Decentraland 和 Bored Ape Yacht Club 的代幣。
大部分攻擊發生在美國東部時間下午 5 點至 8 點之間，目標總共是 32 名用戶。據業內人士估計，被盜代幣的價值超過 170 萬美元。
“他們都有有效簽名”
這次攻擊似乎利用了 Wyvern 協議的靈活性，Wyvern 協議是大多數 NFT 智能合約（包括 OpenSea 上的合約）的開源標準。OpenSea CEO 德文·芬澤（Devin Finzer）在 Twitter 上從兩個方面解釋了此次攻擊：首先，目標公司簽署了一份部分合約，獲得了一般授權，合約大部分內容處于留白狀態。簽名到位后，攻擊者通過調用自己的合約來完成合約，該合約在不付款的情況下轉讓了 NFT 的所有權。本質上，被襲擊目標簽署了一張空白支票——一旦簽署，攻擊者就可以填寫支票的其余部分，并拿走他們的財產。
OpenSea CTO Nadav 發推表示受攻擊者均具備有效簽名
“我檢查了每筆交易，”一位名叫 Neso 的用戶說。“他們都有丟失 NFT 的有效簽名，因此，任何聲稱他們沒有被網絡釣魚就丟失 NFT 的說法都是站不住腳的。”
在最近的一輪融資中，OpenSea 價值 130 億美元，已成為 NFT 熱潮中最有價值的公司之一，它為用戶提供了一個簡單的界面，可以在不直接與區塊鏈交互的情況下列出、瀏覽和競價代幣。這一成功帶來了重大的安全問題，因為該公司一直在與利用舊合約或有毒代幣竊取用戶寶貴財產的攻擊作斗爭。
攻擊發生時，OpenSea 正在更新其合約系統，但 OpenSea 否認攻擊源自新合約。目標數量相對較少，不太可能出現這種漏洞，因為更廣泛平臺中的任何漏洞都可能被更大規模地利用。
盡管如此，攻擊的許多細節仍不清楚——尤其是攻擊者用來讓目標簽署半空合約的方法。美國東部時間凌晨 3 點前不久，Devin Finzer 在 Twitter 上寫道，這些攻擊并非源于 OpenSea 的網站、各種上市系統或該公司的任何電子郵件。攻擊的速度很快，在幾個小時內進行了數百次交易——表明存在某種常見的攻擊媒介，但迄今為止尚未發現任何聯系。
NFT 頻頻出事
“NFT 正處于 ICO（首次代幣發行）階段，任何人都可以雇用藝術家來創造一定數量的 NFT，然后與加密領域的網紅大肆炒作。”區塊鏈公關公司 Light Node Media 的聯合創始人兼 CEO Nelson Merchan Jr. 認為。這樣的炒作使人們很難辨別，到底誰是值得信賴的創作者或誰是騙子。現在 NFT 收藏者和創作者都使用著流行的 NFT 圖片（PFP），并且在 Twitter 上匿名，這就使得騙局更難以被識破。
因此，容易受騙的并不只有新手。加密貨幣的自身投資者與收藏家身價暴跌的例子并不在少數。
常見的 NFT 騙局
過去一年中，NFT 的總價值已飆至數十億美元，成為加密貨幣行業的重要部分。一些頂級收藏品（如 Cool Cats 和 Bored Ape Yacht Club）的交易價格超過了 30,000 美元。隨著 NFT 的蓬勃發展，加密領域的騙局也變得越來越復雜莫測，學習如何規避它們就變得十分重要。
1、釣魚詐騙與彈窗
在購買加密貨幣前，通常需要注冊一個基于以太坊區塊鏈進行交易的錢包。MetaMask 可能是最受 NFT 收藏者歡迎的以太坊錢包。然而，MetaMask 的用戶最近成為了一個網絡釣魚騙局的目標，該騙局借助虛假廣告信息，要求用戶提供私人錢包鑰匙。
或者通過 Discord、Telegram 和其他公共論壇彈出惡意虛假廣告窗口，鏈接到類似 MetaMask 或其他錢包網站的頁面。如果不懷好意者通過網絡釣魚獲得了買家的私人信息，他們便可以轉移其數字錢包中的所有加密貨幣。
2、虛假信息
NFT 的交易過程是虛擬的，所有營銷都在社交媒體上進行。因此用戶很容易被“鯰魚”（指在社交媒體上使用虛假身份的欺詐者）欺騙。許多備受歡迎的 NFT 社區通常雇用網紅和名人進行推廣，使得騙局真假莫辨。
如果聲稱是創始人、名人或網紅給你發了消息，請不要回應。NFT 世界中的一條潛規則是，加密社區高層永遠不會給用戶直接發送私信，除非你先私信了他們，或者你們在諸如 Twitter 或 Discord 的公共平臺上就某件事看法一致。
3、拋售圈套
在加密貨幣和 NFT 領域，拋售圈套已經成為了一種現象。當一個 NFT 項目擁有了更多買家，就有了更多流動性，賠率就會變小。一部分人故意買下一堆 NFT 或者加密貨幣，人為地推動需求大幅上升。一旦成功，騙子就會在價格高漲時套現，只把毫無價值的資產留給其他買家。
某收藏者稱，“如果一個項目中，5000 個 NFT 被 20 個頂級收藏者控制了，并且他們都沒有要出售它們的意思，那么其他想要買入該系列藏品的人，都必需以非常高的底價買入。”
4、競價騙局
競價騙局主要發生在二級市場上。購買了 NFT 后，你會想要將它轉賣給出價最高的人。當你公開銷售 NFT 的時候，競標者可能會在不告知你的情況下，調換所使用的貨幣。很可能原本以 5ETH 出售的 NFT，最后以 5 美元的價格成交。因此，請仔細檢查交易時所使用的貨幣種類，不要接受低于你預期的出價。
5、贗品 NFT
OpenSea 具有適合新手操作的易用性，因此任何人都可以將任意照片或圖像變成 NFT，即便他們不擁有該圖像的知識產權。騙子很容易就能竊取藝術家的作品，注冊假冒的 OpenSea 賬戶，拍賣假的藝術品。將一件藝術品鑄成 NFT 并不等于擁有它的知識產權（IP）所有權。
在購買 NFT 之前，請做好調查，確保自己是從正規賬戶購買藝術品。這些正規賬戶通常會具有藍色的認證標志。
6、缺乏認證的儲存網站
買家購買的 NFT 可能會消失不見，因為基于區塊鏈（NFT）的合約與實際的藝術品是不同的。假如你把原創音樂以 MP3 格式上傳到了 OpenSea 一類的平臺上，如果收藏者想購買它，就會用 ether 進行支付，這樣，一種被稱為“智能合約”的所有權記錄就被創造了出來。
要將藝術品、房契或其他涉及到智能合約的內容儲存在一個去中心化的平臺，請確認這個平臺是可信賴的。請不要購買僅僅鏈接到一個帶有圖片的 URL 的 NFT。因為該 URL 上存儲的頁面或藝術品可以在未經你允許的情況下隨時更改。
避開 NFT 騙局的有效方式
此外，這里還整理了一些防范騙局的基本操作，可以幫 NFT 玩家將投資風險降至最低。
1、保管好私人密鑰
騙子會在 Discord 鏈接中索要用于鑄造 NFT 的加密貨幣，得到之后就會卷錢溜掉，因此不要把自己的密鑰發給任何人。在 Twitter 和電子郵件中，騙子也會索要密鑰。專家建議人們購買冷錢包，比如 Ledger 和 Trezor 這類可以插在電腦上的固態 USB，它們比線上存儲更加安全。采用冷錢包就不用把助記詞輸入瀏覽器了，從而能夠更好保護自己。當然你也可以采用雙向驗證，設置更復雜的密碼。
2、關閉 Discord 私聊
專家建議人們最好直接關閉 Discord 的私聊功能。另外，當你需要幫助的時候，最好的辦法是聯系 NFT 交易網站的客服，而不是社區中的其他人。如果騙子獲得了管理員權限，就可以在公告頻道發布虛假鑄幣鏈接，描述得就像天上掉餡餅一樣。比如：“鑒于大量的公眾需求，我們將發放一千余個 NFT”等等，多數情況下，騙子故意用已售出的藏品行騙。但是真正的項目會通過指定渠道公布動態。
3、警惕空投
騙子可能會空投虛假代幣給你。虛假代幣經常會空投到自己的線上錢包里。代幣以網頁鏈接的形式命名，誘導用戶進入釣魚網站。任何人都可以隨時隨地向任意用戶發送代幣，而錢包是被動接收的，就像電子郵件的收件箱一樣，最好的辦法就是無視它。
但虛假空投也起到一定的篩選作用，如果騙子用沒有價值的收藏品創建了項目，并空投到用戶的錢包里，用戶就可以辨別出這個項目是有水分的。
寫在最后
NFT 可謂能確權一切。以區塊鏈為基礎，NFT 在不可篡改、公開透明、可溯源的特點上，增加了獨一無二的特性。天然的收藏屬性使其首先得以與藝術品掛鉤，但也可映射房產、土地、汽車等實物，甚至是虛擬資產。但任何新技術的發展都有一個由粗到細的發展歷程。就安全方面，目前 NFT 已經出現了版權、重復銷售、失竊和存儲等問題，入局玩家不得不防。
