By：Lisa
据慢雾区情报，发现 NFT?钓鱼网站如下：
钓鱼网站 1：https://c01.host/
钓鱼网站 2：https://acade.link/
我们先来分析钓鱼网站 1：
进入网站连接钱包后，立即弹出签名框，而当我尝试点击除签名外的按钮都没有响应，看来只有一张图片摆设。
我们先看看签名内容：
Maker：用户地址
Taker：0xde6135b63decc47d5a5d47834a7dd241fe61945a
Exchange：0x7f268357A8c2552623316e2562D90e642bB538E5，查询后显示是 OpenSea V2 合约地址。
安全公司：超过280个区块链面临“零日”漏洞的风险，至少价值250亿美元:3月14日消息，据网络安全公司Halborn表示，估计有280个或更多区块链网络面临“零日”漏洞利用的风险，这些漏洞可能会使至少价值250亿美元的加密货币面临风险。
Halborn概述了三个漏洞，其中“最关键”的漏洞允许攻击者“向各个节点发送精心设计的恶意共识消息，导致每个节点关闭”。它随着时间的推移添加了这些消息，可能会使区块链暴露于51%的攻击中，攻击者控制网络的大部分挖矿哈希率或质押代币以制作新版本的区块链或使其离线。其他“零日漏洞”将允许潜在的攻击者通过发送远程过程调用 (RPC) 请求来破坏区块链节点。[2023/3/14 13:03:06]
CityDAO Parcel 0 “零号地块”空投申领窗口已向Citizen NFT持有者开放:5月18日消息，CityDAO宣布正式开始Parcel 0“零号地块”空投，土地NFT申领窗口已向Citizen NFT持有者开放，截止日期为北京时间7月1日2:00。CityDAO于2021年10月29日购买了怀俄明州40英亩地块，将地块治理权铸造为NFT并由公民NFT持有者分享，持有该NFT的用户可以拥有对地块财库的治理权，但不拥有该土地的所有权。[2022/5/18 3:23:36]
大概能看出，这是用户签名 NFT 的销售订单，NFT 是由用户持有的，一旦用户签名了此订单，子就可以直接通过 OpenSea 购买用户的 NFT，但是购买的价格由子决定，也就是说子不花费任何资金就能“买”走用户的 NFT。
此外，签名本身是为攻击者存储的，不能通过 Revoke.Cash 或 Etherscan 等网站取消授权来废弃签名的有效性，但可以取消你之前的挂单授权，这样也能从根源上避免这种钓鱼风险。
成都市利用区块链技术实现不动产首次登记“零材料”受理:12月6日消息，成都市规划和自然资源局积极探索围绕数据安全管理、业务智能审批、行为监测预警、数据协同共享等应用场景，建成“蓉e链”区块链平台，实现不动产首次登记“零材料”受理。将规划和自然资源部门内部产生的土地出让合同、划拨决定书、建设用地规划许可证、建设工程规划许可证、土地核实意见书、权籍调查结果和外部产生的成都市建设工程并联竣工验收通知书等不动产首次登记申请材料，通过不动产单元代码关联并全量实时上“蓉e链”共享存证，确保业务环节前后衔接、数据真实准确，便利信息共享查询追溯。（中国日报网）[2021/12/6 12:54:13]
查看源代码，发现这个钓鱼网站直接使用 HTTrack 工具克隆 c-01nft.io 站点（真实网站）。对比两个站点的代码，发现了钓鱼网站多了以下内容：
火币BETH昨日质押量增速达10% BETH/ETH价格几乎“零价差”:据火币全球站数据，截至12月24日15：30，火币BETH价格为570USDT，BETH/ETH交易对价格为0.9958（1BETH=0.9958ETH）。火币BETH24小时交易量超过2648个BETH，折合约150万USDT。
分析人士认为，ETH与BETH是1：1的单向不可逆兑换，因此理论上BETH价格长期低于ETH约1-20%。而火币BETH/ETH交易对价格为0.9958，仅相差0.5%，说明火币在BETH的交易量、价格等均有优势。[2020/12/24 16:23:23]
查看此 JS 文件，又发现了一个钓鱼站点 https://polarbears.in。
如出一辙，使用 HTTrack 复制了 https://polarbearsnft.com/（真实站点），同样地，只有一张静态图片摆设。
跟随上图的链接，我们来到?https://thedoodles.site，又是一个使用?HTTrack 的钓鱼站点，看来我们走进了钓鱼窝。
对比代码，又发现了新的钓鱼站点 https://themta.site，不过目前已无法打开。
通过搜索，发现与钓鱼站点 thedoodles.site 相关的 18 个结果。同时，钓鱼网站2（https://acade.link/）也在列表里，同一伙子互相 Copy，广泛撒网。
再来分析钓鱼站点 2，同样，点击进去就直接弹出请求签名的窗口：
且授权内容与钓鱼站点 1 的一样：
Maker：用户地址
Exchange：OpenSea V2 合约
Taker：子合约地址
先分析子合约地址（0xde6...45a），可以看到这个合约地址已被 MistTrack 标记为高风险钓鱼地址。
接着，我们使用 MistTrack 分析该合约的创建者地址（0x542...b56）：
发现该钓鱼地址的初始资金来源于另一个被标记为钓鱼的地址（0x071...48E），再往上追溯，资金则来自另外三个钓鱼地址。
总结
本文主要是说明了一种较为常见的 NFT 钓鱼方式，即子能够以 0 ETH（或任何代币）购买你所有授权的 NFT，同时我们顺藤摸瓜，扯出了一堆钓鱼网站。建议大家在尝试登录或购买之前，务必验证正在使用的 NFT 网站的 URL。同时，不要点击不明链接，也不要在不明站点批准任何签名请求，定期检查是否有与异常合约交互并及时撤销授权。最后，做好隔离，资金不要放在同一个钱包里。
慢雾科技
个人专栏
阅读更多
金色早8点
Bress
财经法学
PANews
成都链安
链捕手
Odaily星球日报
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。