继1月底OpenSea因漏洞遭黑客攻击导致数十万美元损失后，该平台再次成为焦点。尽管当月NFT交易量高达45亿美元，但一起新的安全事件仍对数百名用户造成深远影响。区块链安全服务商PeckShield随后发布报告，详细披露了此次攻击的技术细节。
攻击详情
据PeckShield披露，攻击发生在土耳其时间凌晨1:00至4:00之间，共锁定32名用户，窃取包括Decentraland和Bored Ape Yacht Club在内的254个NFT代币。Web3博主Molly White估算，被盗资产价值超过170万美元。
此次攻击疑似利用了Wyvern协议的灵活性缺陷。Wyvern作为开源标准，是众多NFT智能合约及OpenSea生成合约的基础架构。受害者在点击看似普通的OpenSea邮件后，在不知情的情况下授权了攻击者。
虽然尚未得到证实，但 @opensea 黑客攻击很可能是网络钓鱼。用户按照网络钓鱼邮件中的指示授权了“迁移”，而该授权不幸允许黑客窃取高价值的 NFT…… pic.twitter.com/Fj5d9ImC2r
— PeckShield Inc. (@peckshield) 2022年2月20日
OpenSea 创始人发表声明
OpenSea联合创始人兼CEO Devin Finzer指出，袭击分两个阶段进行：第一阶段，目标用户签署了一份字段留空的通用部分合约（partial contract）；签名完成后，攻击者通过填写合约空白处并调用自身合约，实现了在未付款的情况下转移NFT所有权。
看到大家对这个 OS 机制有些困惑，所以解释一下。
攻击者让用户签署了一半有效的 Wyvern 订单，该订单除了目标地址（攻击者合约）和 calldata 外基本为空，然后攻击者签署了订单的另一半。— Neso (@Nesotual) 2022年2月20日
值得注意的是，攻击者利用的是30天前部署的合约，调用的却是4年前的OS旧版合约。若用传统术语类比，这相当于持有者“签署了一张空白支票”或“在白纸上签名”，任由攻击者事后随意填写内容。
Solidity开发者@0xfoobar分析称，此次攻击与OS新V2部署的唯一关联在于：此类列表钓鱼攻击将在六天内到期，因此黑客急于行动以窃取V1市场上列出的物品。
与OS新V2部署的唯一联系在于，这些列表钓鱼攻击将在六天内到期，因此黑客现在采取行动以窃取V1市场上列出的物品。
你如何保护自己？https://t.co/4HTCor4msj— foobar (@0xfoobar) 2022年2月20日
OpenSea用户应如何应对此次攻击？
@0xfoobar建议，认为过去几个月内曾与恶意网站交互的用户，应立即通过Etherscan撤销来自OpenSea的所有授权。他强调，此次攻击并非针对智能合约的广泛性漏洞利用，而是属于“隐蔽的网络钓鱼”。
攻击发生时，OpenSea正处于合约更新期，引发外界猜测。但考虑到其庞大用户基数中仅32人受损，OpenSea澄清攻击与新合约无关。Devin Finzer亦强调，攻击与OpenSea网站、列表系统或官方邮件均无关联，确认为外部发起的网络钓鱼。
我们的领导层、工程和安全团队正在与受影响的用户沟通以收集详细信息。我们仍然认为这是一起起源于 https://t.co/3qvMZjxmDB 之外的钓鱼攻击。
—— OpenSea (@opensea) 2022年2月20日
LooksRare 将攻击转化为机会
Opensea 用户欢迎加入 #looksrare $LOOKS #OpenSea 黑客事件
—— LooksRare 👀💎 - NFT Marketplace - (@LooksRaresNFT) 2022年2月20日
NFT市场LooksRare正借机争夺市场份额，连续发推邀请OpenSea用户迁移并宣称自身优势。支持者指出，此次事件直接推动了LOOKS代币价格上涨。
$Looks 看来只有一个选择。感谢 Opensea pic.twitter.com/JmUTP2OaW8
— ThreadGuy.eth 💫 (@DiscoverXnft) February 20, 2022
今年1月NFT总销售额突破150亿美元时，以100亿美元成交额超越OpenSea的LooksRare已成为行业新星。此次OpenSea的安全危机，无疑进一步加剧了用户对竞品平台的关注。