Benutzer des großen Marktplatzes für nicht fungible Token (NFT) OpenSea gaben an, dass sie Ziel eines neuen E-Mail-Phishing-Angriffs seien und E-Mails mit bösartigen Links von Angreifern erhalten hätten, die sich als der Marktplatz selbst ausgeben.
Nach Social-Media-Berichten zufolge wurden OpenSea-Benutzer und -Entwickler von verschiedenen E-Mail-Phishing-Kampagnen angegriffen, darunter einer gefälschten Risikowarnung für Entwicklerkonten und einem gefälschten NFT-Angebot.
Ein OpenSea-Entwickler wandte sich am 13. November an X (ehemals Twitter), um zu melden, dass er einen Phishing-Versuch an eine E-Mail erhalten habe, die ausschließlich seinem OpenSea Application Programming Interface (API)-Schlüssel gewidmet sei. „Mit anderen Worten: Entwicklerkontakte wurden aus OpenSea exfiltriert und sind das eigentliche Ziel dieser Kampagne“, heißt es auf dem Plakat.
Der Social-Media-Bericht erfolgte als Reaktion auf OpenSeas Beharren darauf, dass die Plattform nicht gehackt wurde, und auf die Aufforderung an Benutzer, nicht auf Links zu klicken, denen sie nicht vertrauen.
Richtig – es gibt keine Smart-Contract-Schwachstelle. Aber leider für @offenes Meer Ich habe gerade einen Phishing-Versuch an eine E-Mail erhalten, die ausschließlich meinem OpenSea-API-Schlüssel gewidmet war. Mit anderen Worten: Entwicklerkontakte wurden aus OpenSea exfiltriert und sind das eigentliche Ziel dieser Kampagne https://t.co/GD4UgwWIrx pic.twitter.com/rtyUJBMlwl
— Menge (@quantity) 13. November 2023
Ein anderer OpenSea-Benutzer wandte sich an Reddit äußern Verwirrung über die laufende Phishing-Kampagne am 14. November.
„Ich habe OpenSea seit Jahren nicht mehr genutzt und plötzlich bekomme ich immer wieder E-Mails, in denen es um Angebote für meine NFT-Einträge geht“, schrieb der Verfasser und fügte hinzu, dass alle anfälligen Links versuchten, den Leser zur Installation einer bösartigen App zu verleiten.
„Im Moment bekomme ich 3-4 Betrugs-/Phishing-E-Mails pro Tag, was verrückt ist, da ich vor ein paar Wochen noch keine erhalten habe“, schrieb der Redditor und fügte hinzu:
„Meine Frage ist also, ob mit OpenSea etwas Neues passiert ist. Meine E-Mail-Adresse, auf die sie zugreifen, ist eine, die ich speziell für OpenSea erstellt habe, also mache ich mir keine Sorgen, aber ich weiß, dass OpenSea schon früher Hacks hatte. Rufen sie gerade erst meine E-Mail an oder gibt es eine neue?“
Die Nachricht kommt einige Wochen, nachdem es bei einem Drittanbieter von OpenSea zu einem Sicherheitsvorfall kam, bei dem Informationen im Zusammenhang mit Benutzer-API-Schlüsseln offengelegt wurden. OpenSea meldete den Verstoß Ende September 2023 in einer Benachrichtigungs-E-Mail an betroffene Benutzer und gab an, dass Benutzer-E-Mails und Entwickler-API-Schlüssel aufgrund des Angriffs möglicherweise durchgesickert seien.
Wählen Sie Ihren Drittanbieter gut aus …
Opensea gab bekannt, dass ein Anbieter angegriffen wurde, was zur Offenlegung der API-Schlüssel der Entwickler führte!
Lassen Sie sich vor der Auswahl von einem professionellen Sicherheitsberater über die Sicherheit Dritter beraten. Z.B @SlowMist_Team pic.twitter.com/jcBJ9IaAEN— 23pds (@IM_23pds) 23. September 2023
OpenSea-Benutzer haben bereits zuvor Phishing-E-Mails erhalten. Im Februar 2022 bestätigte OpenSea offiziell, dass seine Plattform einem Phishing-Angriff von außerhalb der OpenSea-Website ausgesetzt war, und forderte die Benutzer auf, nicht auf Links in den E-Mails zu klicken. Das Unternehmen untersuchte auch Gerüchte über einen Exploit im Zusammenhang mit OpenSea-bezogenen Smart Contracts.
Verwandt: Chinesische Hacker nutzen eine gefälschte Skype-App, um Krypto-Benutzer in einem neuen Phishing-Betrug anzugreifen
OpenSea reagierte nicht sofort auf die Bitte von Cointelegraph um einen Kommentar.
Diese jüngste Phishing-Kampagne findet statt, kurz nachdem OpenSea 50 % seiner Mitarbeiter entlassen hat, mit der erklärten Absicht, OpenSea 2.0 mit einem kleineren Team zu starten.
Dieser Angriff ist eine weitere Mahnung für die Kryptowährungs-Community, beim Empfang von E-Mails von Dienstanbietern wachsam zu bleiben. Um einen Phishing-Hack zu vermeiden, sollten Benutzer auf die Authentizität des E-Mail-Absenders und der zugehörigen Links achten. Benutzer sollten auch bedenken, dass Kryptofirmen ihre Benutzer niemals nach persönlichen Daten wie Wallet-Adressen oder privaten Schlüsseln fragen.
Zeitschrift: So schützen Sie Ihre Krypto in einem volatilen Markt – Bitcoin-OGs und Experten äußern sich