使用“扫一扫”即可将网页分享至朋友圈。
黑客钓鱼攻击闪袭OpenSea用户
2月19日，全球最大的NFT交易平台OpenSea刚开始支持用户使用新合约，一些用户的NFT资产就被盗了。
次日，OpenSea的CEO Devin Finzer在推特上披露，「这是一种网络钓鱼攻击。我们不相信它与 OpenSea 网站相关联。到目前为止，似乎有 32 个用户签署了来自攻击者的恶意有效载体，他们的一些 NFT 被盗。」Finzer称，攻击者钱包一度通过出售被盗NFT获得了价值170万美元的ETH。
用户NFT被盗后，不少人在推特上猜测，钓鱼攻击的链接可能隐藏在假冒的「OpenSea致用户」邮件中。因为19日当日，该交易平台正在进行一项智能合约升级，用户需要将列表迁移到新的智能合约中。攻击者很可能利用了这次的升级消息，将钓鱼链接伪装成通知邮件。
2月21日，OpenSea的官方推特更新回应称，攻击似乎不是基于电子邮件。截至目前，钓鱼攻击的来源仍在调查中。
OpenSea用户遭「钓鱼」丢失NFT
2月18日，OpenSea开始了一项智能合约的升级，以解决平台上的非活跃列表问题。作为合约升级的一部分，所有用户都需要将他们在以太坊上的NFT列表迁移至新的智能合约中，迁移期将持续7天，到美东时间的2月25日下午2点完成，迁移期间，用户NFT在OpenSea上的旧报价将过期失效。
2月19日，用户需要配合完成的操作开始了。人们没有想到，在忙乱的迁移过程中，黑客的「黑手」伸向了OpenSea用户的钱包里。从用户们在社交平台的反馈看，大部分攻击发生在美东时间下午5点到晚上8点。
从后来在以太坊浏览器上被标记为「网络钓鱼/黑客」的地址上看，19日晚18时56分，被盗的资产开始从黑客地址转移，并在2月20日10时30分出现了通过混币工具Tornado Cash「洗币」的操作。
黑客链上地址的部分动向
用户NFT被盗后，「OpenSea被黑客攻击，价值2亿美元资产被盗」的说法开始在网络上蔓延，人们无从得知失窃案的准确原因，也无法确认到底殃及了多少用户。
直到2月20日，OpenSea的CEO Devin Finzer才在推特上披露，「据我们所知，这是一种网络钓鱼攻击。我们不相信它与 OpenSea 网站相关联。到目前为止，似乎有 32 个用户签署了来自攻击者的恶意有效载体，他们的一些 NFT 被盗。」Finzer 驳斥了「价值2 亿美元的黑客攻击的传言」，并表示攻击者钱包通过出售被盗NFT 获得了价值170 万美元的ETH。
区块链安全审计机构 PeckShield 列出了失窃NFT的数量，共计315个NFT资产被盗，其中有254个属于ERC-721标准的NFT，61个为ERC-1155标准的NFT，涉及的NFT品牌包括知名元宇宙项目Decentraland 的资产和NFT头像「无聊猿」Bored Ape Yacht Club等。该机构还披露，黑客利用Tornado Cash清洗了1100 ETH，按照ETH当时2600美元的价格计算，清洗价值为286万美元。
攻击者如何拿到用户「签单」授权？
用户NFT失窃事件发生后，有网友猜测，黑客利用了OpenSea升级的消息，将钓鱼链接伪造成通知用户的邮件，致使用户上当受骗而点击了危险链接。
对此，Devin Finzer表示，他们确信这是一次网络钓鱼攻击，但不知道钓鱼发生在哪里。根据与32名受影响用户的对话，他们排除了一些可能性：攻击并非源自OpenSea官网链接；与OpenSea电子邮件交互也不是攻击的载体；使用OpenSea 铸造、购买、出售或列出NFT不是攻击的载体；签署新的智能合约（Wyvern 2.3 合约）不是攻击的载体；使用 OpenSea 上的列表迁移工具将列表迁移到新合约上不是攻击的载体；点击官网banner页也不是攻击的载体。
简而言之，Finzer试图说明钓鱼攻击并非来自OpenSea网站的内部。2月21日凌晨，OpenSea官方推特明确表示，攻击似乎不是基于电子邮件。
截至目前，钓鱼攻击到底是从什么链接上传导至用户端的，尚无准确信息。但获得Finzer认同的说法是，攻击者通过钓鱼攻击拿到了用户转移NFT的授权。
推特用户Neso的说法得到了Finzer的转发，该用户称，攻击者让人们签署授权了一个「半有效的 Wyvern 订单」，因为除了攻击者合约和调用数据（calldata）之外，订单基本上是空的，攻击者签署了另一半订单。
该攻击似乎利用了Wyvern 协议的灵活性，这个协议是大多数 NFT 智能合约（包括在 OpenSea上制定合约）的基础开源标准，OpenSea 会在其前端/API上验证订单，以确保用户签署的内容将按预期运行，但这个合约也可以被其他更复杂的订单使用。
按照Neso的说法，首先，用户在Wyvern上授权了部分合约，这是个一般授权，大部分的订单内容都留着空白；然后，攻击者通过调用他们自己的合约来完成订单的剩余部分，如此一来，他们无需付款即可转移 NFT 的所有权。
简单打个比方就是，黑客拿到了用户签名过的「空头支票」后，填上支票的其他内容就搞走了用户的资产。
也有网友认为，在钓鱼攻击的源头上，OpenSea排除了升级过的、新的Wyvern 2.3合约，那么，不排除升级前的、被用户授权过的旧版本合约被黑客利用了。对此说法，OpenSea还未给出回应。
截至目前，OpenSea仍在排查钓鱼攻击的源头。Finzer也提醒不放心的用户，可以在以太坊浏览器的令牌批准检查程序（Ethereum Token Approval）上取消自己的NFT授权。
“广东财经网”的新闻页面文章、图片、音频、视频等稿件均为自媒体人、第三方机构发布或转载。如稿件涉及版权等问题，请与
我们联系删除或处理，客服邮箱1098101642@qq.com，稿件内容仅为传递更多信息之目的，不代表本网观点，亦不代表本网站赞同
其观点或证实其内容的真实性。
- 声音提醒
- 60秒后自动更新
【民政部回应何时恢复婚姻登记】民政部社会事务司二级巡视员杨宗涛表示，婚姻登记场所是人群聚集场所，部分地区暂停婚姻登记工作是对人民群众安全负责。未停止登记的地方推广用电话、网络、qq群预约登记，控制登记人数，分批分段登记，减少人员聚集和在登记机关停留时间。已停止婚姻登记地方将根据当地疫情控制情况逐渐恢复。
15:54欧洲央行副行长金多斯：欧洲央行还没有达到逆转利率。宽松政策的副作用更明显了。
15:54财经网站Forexlive分析师Justin Low评瑞士1月CPI月率：尽管通胀年率保持稳定，但核心通胀率有所下降，这一点令人更加担忧。这只是进一步巩固了瑞士央行维持现有货币政策不变，并可能在未来寻求更多宽松措施的观点。
15:54【武汉两大批发市场商户开业率超过80%】商务部市场建设司司长朱小良10日称，目前武汉生活必需品供应基本正常，除冷鲜肉、鲜叶菜等少数品种存在结构性短缺外，大部分重要生活物资供应充足，未发生明显抢购或脱销断档情况。当地白沙洲和四季美两大批发市场正常营业，商户开业率超过80%，日交易量上升至3000吨以上。（国是直通车）
15:53【日本2019年经常项目顺差增长4.4%】日本财务省10日发布的国际收支初步统计报告显示，主要受外国人入境游消费扩大影响，2019年日本经常项目顺差增长4.4%。报告显示，2019年日本经常项目顺差为20.06万亿日元（1美元约合109.8日元）。其中，商品贸易方面，由于液化天然气价格下跌等因素，进口下降5.6%至75.56万亿日元；由于汽车部件及钢铁等产品出口减少，出口下降6.3%至76.12万亿日元。货物贸易顺差减少53.8%，为5536亿日元。（新华社）
15:53欧元兑美元EUR/USD短线波动不大，现报1.0952。
15:53瑞士1月CPI年率：0.2%，前值：0.2%，预期：0.1%；瑞士1月CPI月率：-0.2%，前值：0%，预期：-0.2%。
15:52英镑兑美元GBP/USD短线走低13点，现报1.2890。
15:52【宁德时代“供电”国产特斯拉 有望拉低售价20%】全国乘联会秘书长崔东树分析认为，“随着特斯拉国产化率提升和产能爬坡，未来特斯拉国产车型的价格下探空间还是很大的。”他预计今年下半年，国产Model 3车型的售价就有望降至25万元，降幅接近20%。（新京报）
15:51【内蒙古：对不裁员或少裁员企业返还上年度50%失业保险费】据内蒙古新型冠状病毒肺炎疫情防控工作指挥部消息，疫情期间，内蒙古对不裁员或少裁员的企业返还上年度实际缴纳失业保险费的50%，对面临暂时性经营困难的中小企业，返还标准提高到上年度6个月企业及其职工缴纳社会保险费的50%。
15:51【商务部：2019年服务进出口总额54152.9亿元 同比增长2.8%】商务部新闻发言人表示，2019年，在服务贸易创新发展试点等政策的激励下，我国服务贸易总体保持平稳向上态势，逆差明显下降，结构显著优化，高质量发展成效初步显现。全年服务进出口总额54152.9亿元（人民币，下同），同比增长2.8%。其中，出口总额19564.0亿元，同比增长8.9%；进口总额34588.9亿元，同比减少0.4%。（第一财经）
15:51【振华股份：疫情导致下游客户开工推迟 产品库存上升】振华化学公告，公司目前生产经营稳定，所有产能均正常开工，原材料采购能基本满足生产需要，由于疫情导致下游客户开工推迟，公司出货量减少，产品库存有所上升。公司将根据客户需求、疫情及市场变化，适度调整生产经营策略，尽可能保持生产经营的稳定。
15:50环旭电子2月10日晚间公告，公司2020年1月合并营业收入为23.27亿元，较去年同期的合并营业收入减少27.83%，较2019年12月合并营业收入环比减少37.23%。
15:49精测电子：与京东方集团签订了多份销售合同，合同累计金额达到6.96亿元。
17:12华夏银行：银保监会同意本公司在全国银行间债券市场发行不超过100亿元人民币的金融债券，募集资金全部用于绿色信贷。
17:03
