NFTマーケットプレイスOpenSeaで複数の盗難 フィッシング攻撃で被害額は2億円相当

[ITmedia]

　世界最大規模のNFTマーケットプレイス、米OpenSeaの複数のユーザーが2月19日午後（米東部時間）からNFTを盗まれたと報告している。OpenSeaのWebサイト上部には本稿執筆現在、以下のような警告メッセージが表示されている。

　「OpenSea外部で発生したフィッシング攻撃のうわさについて調査を続けています。opensea.io以外のリンクをクリックしないでください」とある。

　同社のデヴィン・フィンザーCEOは同日午後11時ごろ、公式Twitterアカウントで「これまでに32人のユーザーが攻撃からの悪意あるペイロードに署名してしまい、一部のNFTが盗まれた」とツイートした。「ユーザーに送られたフィッシングメールを認識していない」ながらも、OpenSeaのWebサイトをかたるフィッシングの可能性を示唆した。

　OpenSeaは3日、18日からスマートコントラクトのアップグレードを開始すると予告しており、悪意ある攻撃者はこの情報を悪用したとみられる。このアップグレードは、今回のような詐欺でユーザーが不用意に署名することを困難にすることが目的だった。

　あるユーザーがツイートしたフィッシングメールとされる画像には「ガス代無料で新しいスマートコントラクトに移行できます」という文言の下に「Get Started」ボタンがついており、これを選ぶと偽サイトに誘導されるものとみられる。

　イーサリアムのブロックチェーンエクスプローラーEtherscanがFace_Phishing5169とラベル付けした攻撃者のアドレスのバランスは一時期641イーサリアム（約2億円相当）だった。既に複数のNFTを販売している。

　本稿執筆中に、OpenSeaのナダブ・ホランダーCTO（最高技術責任者）が一連のツイートでこのフィッシング公的の技術的な概要を共有した。

　被害はopensea.ioの問題ではなく、外部での標的型攻撃によるものではあるが、「影響を受けるユーザーを積極的に支援する」方法について32人の被害者と話し合っているという。