警惕Free Mint新騙局：參與Premint中獎后資產被盜_MIN

原文作者：MontanaWong

原文編譯：0x9F、czgsws，BlockBeats

本文梳理自Web3創作者工具應用?Sprise和Pally.gg聯合創始人?MontanaWong?在個人社交媒體平臺上的觀點，BlockBeats對其整理翻譯如下：

「degenmeta」是NFT領域的當前趨勢，團隊以FreeMint的形式啟動項目，很少或直接不提供項目路線圖，這種形式被諸如?goblintown?等項目成功帶火。這種形式在熊市中很好，因為FreeMint起碼不會虧本。

美國FBI、CISA、財政部提醒公眾警惕Karakurt勒索軟件攻擊:6月4日消息，根據美國聯邦調查局、網絡安全和基礎設施安全局（CISA）和美國財政部最新發布的警報，Karakurt數據勒索集團正在盜取受害者的數據，以索要2.5萬至1300萬美元的比特幣贖金。

美國情報機構稱，Karakurt團伙的受害者沒有報告他們的設備或文件被加密了，但該團伙成員威脅說，除非收到贖金，否則他們將拍賣被盜數據或向公眾公布數據。

根據CISA的警告，受害者通常有一周的時間來支付賠償金。但相關機構敦促受害者不要付款，因為有大量證據表明，即使支付了贖金，Karakurt也會保留被盜信息。這些機構解釋稱，很多時候，該組織夸大了實際竊取了多少數據或其竊取數據的價值。（The Record）[2022/6/4 4:01:51]

騙子們利用這一點。他們現在不再創建虛假項目來騙取你的ETH，而是營造FOMO氣氛誘導你參加免費的「degen」Mint項目，騙你授予他們權限轉走你錢包里NFT。

流動性挖礦項目DEGO：警惕虛假版本NFT:9月29日消息，DeFi流動性挖礦項目DEGO發推表示，目前市面上有虛假版本的DEGO中本聰NFT，提醒用戶要去OpenSea官方商城做DEGONFT交易，謹防被騙。據悉，DEGO于近日上線了DEGONFT，DEGO申領合約的gas費用一度達到第三名，僅次于Uniswap和USDT，24小時鏈上轉賬次數已經超過加密貓。[2020/9/29]

通常他們首先使用Premint等合法服務，為他們的預售名單抽獎。Premint不會對使用他們服務的項目做任何審查，但很多人不知道這一點，還以為這些抽獎活動「有Premint背書」。

動態 | Scatter錢包存在可欺詐風險 用戶需警惕授權惡意交易:?近日，DVP漏洞平臺收到了一名白帽子提交Scatter錢包的漏洞。漏洞詳情顯示：DApp調起Scatter支付時，如果是多筆action放在一個transaction里，在默認的Human Readable顯示模式中Scatter只是把每一個action羅列出來，并且在JSON Format顯示模式中會把多筆相同的action只顯示一個，這可能造成混淆。對于新手用戶，很可能會誤以為這是錢包的顯示問題，從而失手確認導致直接資金損失。因為Scatter對此沒有專門提示，僅僅在左邊有一個“x actions in total”的提示，這個提示字體很小幾乎不會注意到。

?攻擊者可通過開發一個DApp，在某個地方僅收費0.0001EOS，但實際支付時發起多筆交易來轉移大量用戶資金（由于在要求用戶授權的時候Scatter錢包并不會顯示交易總金額，而只會顯示單筆交易金額，用戶很容易被誘導確認）。

?目前，DVP安全團隊已經聯系到Scatter官方并通報漏洞，對方稱會在下個版本更新UI設計，防止用戶授權此類惡意交易。[2019/3/25]

更糟糕的是，Premint允許抽獎創建者提出某些要求，例如「必須持有1枚MoonbirdsNFT」才能參加。這可以在不經過原項目方同意的情況下，搞出假裝得到官方認可的虛假抽獎活動。

「白名單預售」時你仍然會用持有高價值NFT的錢包參與鑄造，因為最初參與抽獎需要用到它們。這就是你的NFT會被盜的地方，讓我們看看這是如何進行的。

今天這一騙局出現了一個新版本「aLLtHiNgbEgiNs」，導致幾枚高價值的MoonbirdsNFT被盜。

如果你去他們的網站，它看起來就像一個典型的擺爛FreeMint項目，帶有連接錢包和Mint選項。不過一旦你深入了解，就會發現這個網站絕不是這么簡單。

可以注意到的第一件事，就是他們網站的大量代碼都復制自?goblintown?網站。

其次，如果你查看頁面上的JavaScript，有一個名為signupxx44777.js的文件，這就是漏洞所在。

連接錢包后，該代碼就會開始運作，字面上寫著「drainNFTs」。然而該代碼的真正目的是：

1.瀏覽你地址里的內容?

2.使用OpenSea的API來確定哪個是你最值錢的NFT?

3.識別出你最值錢的NFT并找到它的智能合約信息

4.一旦你點擊「mint」，它就會產生一筆交易與你最值錢的NFT的合約發生交互，這一setApprovalForAll交易會授予騙子轉走你NFT的權限

因此，盡管你認為你只是執行了一次典型的FreeMint交易，但實際上你已經允許騙子從你的錢包中轉走那些你最值錢的NFT，簡單粗暴。

總之，這一漏洞利用的工作原理如下：

1.圍繞免費的DegenMint項目進行炒作，使用Premint等合法工具誘使高價值錢包參與

2.創建一個帶有惡意JavaScript的網站，掃描你的錢包以獲得最高價值的NFT

3.虛假的Mint選項，實際不會產生一筆Mint交易，而會創建一筆授予騙子轉走你NFT?權限的惡意交易

4.用相同的代碼在不同的「項目」下重復步驟1-3

這些騙局中大部分可能都是一個人搞出來的，一定要注意安全。如果你認為自己受到了這些騙局之一的影響，你可以通過?revoke.cash?撤銷對所有值錢NFT的訪問權限，或盡快將它們轉移至硬件錢包。

原文鏈接

Tags：NFTINTMINTMINMANEKI Vault (NFTX)GLINT幣MinterMINA價格

比特幣交易