NFT被盗的各个手法大家应该经过这么久的市场教育已经比较熟悉了，主要是通过诱导你点击某个按钮触发approve事件将你的NFT授权给别人，从而对方可以转移走，这种手法其实已经识别度很高了，毕竟它需要把小狐狸弹出来后，让你交一笔gas费完成approve操作，一到了交钱的时候毕竟大家也会意识到有问题了，但是我今天要讲的这个手法真的让我后背发凉，如果我的朋友没有遇到我真的不会意识到，如果我遇到了我也一定会中招！所以大半夜的在凌晨3点我需要将它写下来分享给大家，请转发预警周围的朋友们！
今天晚上我的一位朋友说他登录了一个假冒网站，然后仅仅进行了签名，所有授权给opensea即曾经挂过单的NFT均被转走了！这个假冒网站是冒充最近因空投大热的Blur，所以每当出现这种行业热度很高的事情时就一定会冒出来几个浑水摸鱼捞一把的黑客们。
签名银行因向客户提供虚假声明而被起诉:金色财经报道，市场消息：签名银行因向客户提供虚假声明而被起诉，拟议中的集体诉讼旨在从签名银行获得赔偿。[2023/3/15 13:04:18]
这是它被盗的那笔交易记录，可见在一笔交易中5个NFT被转走了。
然后我们看到这个交易的发起方form已经被标记为钓鱼地址，下面的交互合约地址旁边有一个Seaport字样，还被打了一个绿色的对勾。
Revv发布基于以太坊钱包的电子签名Beta版产品:6月27日消息，文档工作流程自动化平台Revv宣布发布由以太坊钱包提供支持的电子签名解决方案的Beta版产品，Revv用户可以选择他们的以太坊钱包来验证身份、电子签名文档，并使用钱包相关的审计跟踪来强化签名证明。
据悉，该功能结合了电子签名技术和区块链基础设施的力量，并将文档签名功能扩展到去中心化网络。Revv将使用以太坊钱包进行文档签名成为链外过程，这意味着不涉及区块链交互，而只涉及其加密功能，这也意味着执行这些电子交易不需要gas费。（Business Wire）[2022/6/27 1:34:08]
那可能是和这个Seaport合约进行了交互才导致被盗的？但是这个合约被打了绿标应该是健康认证过的呀，Seaport是什么呢？
Seaport是opensea在今年5月20日推出的一个NFT交易协议，用于取代已经使用了4年之久的Wyvern，它的本质就是一个处理NFT交易的订单薄智能合约，也就是你所有在opensea进行的NFT交易行为挂单、offer等全部走的这个协议，这是opensea官方的协议，怎么可能会出问题呢？
Autographia将拍卖由ElonMusk签名的特斯拉模型及相关NFT:8月25日消息，签名纪念品供应商Autographia宣布与去中心化金融社区HODLToken合作，将在其HODLDiamond市场上拍卖由ElonMusk签名并经Beckett认证的特斯拉模型及相关NFT。拍卖会将于美国东部时间8月29日8点开始，持续10天。起拍价将被设定为7.5ETH（约合2.4万美元）。（PRNewswire）[2021/8/25 22:36:14]
然后我打开了被盗NFT的交易，发现其被执行了MatchOrders操作从而被转移给了另一个地址，MatchOrders即Seaport中匹配到了订单，看着像是你情我愿呀这不是Match到了吗？
动态 | CSDN头条介绍ARPA门限签名技术:中文IT技术交流平台CSDN首页分享ARPA门限签名技术。ARPA密码学家苏博士在本文中从技术原理出发，探讨密码学，区块链，安全多方计算与门限签名之间的关系。并讨论不同签名范式的优缺点，列举门限签名的应用场景，从而让读者快速了解门限签名。
ARPA的企业密钥管理模块中门限签名方案已经支持椭圆曲线数字签名协议的ED25519参数组，未来会兼容更广泛的数字签名算法。[2020/1/8]
为了帮我的朋友破案，我壮着胆子试，打开了这个钓鱼网站并连接钱包，然后出现了一个签名，看着挺正常的人畜无害，但里面肯定有鬼我不敢点，先放在一边。
动态 | “停止Libra”的在线请愿书已获得5万签名:与非政府组织Finance Watch合作在WeMove.EU上发布的一项旨在禁止“Facebook资金”的请愿书已获得了50000个签名，所需签名总数为75000个。该请愿书呼吁整个欧洲联盟团结起来，反对Facebook，以停止Libra的推出。这份请愿书包括一封致欧盟委员会候任主席Ursula von der Leyen、欧洲央行行长Maria Draghi和欧洲央行未来行长Christine Lagarde的信。（Beincrypto）[2019/10/5]
因为Seaport是opensea的NFT交易协议，然后我朋友说他所有挂单的NFT均被盗了，并且刚才看到是执行了协议内的MatchOrder即匹配到了买家完成成交，挂单的逻辑就是我将某个NFT背后的collection执行approve方法授权给opensea，让opensea有权限转移我的NFT即托管，这个过程是要交gas费的，然后我再将某个NFT挂单时则是进入到opensea链下的订单薄中即Seaport中，当有人对该订单进行交易时opensea再进行链上资产转移操作，那我来到opensea试着挂一个看看Seaport到底在搞什么鬼。
当我点击listing后，卧槽出来的签名居然和我刚才在钓鱼网站遇到的一模一样！这说明什么，大胆推演，钓鱼网站执行了Seaport让我在不知情的情况下在opensea进行了交易！
我们来看一点钓鱼网站弹出的签名中到底都有什么内容。
首先有一个itemType，它指的是本次交易的目标资产类型，1、2、3分别表示ERC20、721和1155，所以它是要盯着我的NFT啊。
然后offerer字段里面是我的地址，Seaport中若itemType为NFT类型即ERC721/1155，则offerer是卖方要把自己的NFT卖出去，若为ETH/ERC20这种“钱”的则offerer是买方来花钱买NFT的，所以这里填写的是我的地址，太歹了这个签名里面居然要把我的NFT转出去！
然后我们再往下看，token字段里面有一串地址。
我把它复制粘贴到opensea打开后，歹，歹啊！居然要偷走我的熊市之光debox小企鹅！
而正如之前分析的一样，debox也恰好就是我曾经在opensea挂单过的NFT！
再往下看，recipient字段中是一个我很陌生的地址。
我将该地址复制后在我朋友被盗的那个交易中进行检索后，果然出现在了里面命中了！
所以是该假冒网站调用了Seaport协议让我对opensea进行了操作从而转移走了我的NFT，具体的机理还需要深入研究，但是Seaport作为opensea官方协议居然出现了这种问题，一定是需要负有责任的，至少应该要做到鉴权，用随机数验证交易来源也可以一定程度避免该问题。我不知道中招的人有多少，但是请大家一定铭记如果你在签名时遇到了如上我截图的Seaport字样，以及签名内容中包括了offerer等，请一定要谨慎！我们BuidlerDAO孵化的防钓鱼安全插件www.metashield.cc也会尽快想办法将该风险识别更新上去！请转发让更多人预警，也强烈要求opensea出具该问题的解决方案。
转自Jasonchen
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。