Comment fonctionnent les faux parachutages NFT ?

Fausses mécaniques de largage

1. Les attaquants déploient des domaines de projet contrefaits imitant des marques NFT légitimes, en utilisant souvent le typosquatting ou l'usurpation de sous-domaine pour tromper les utilisateurs.

2. Ils publient de fausses annonces sur les chaînes Discord, Twitter et Telegram revendiquant l'éligibilité exclusive au largage pour les premiers supporters ou les participants à la liste blanche.

3. Les victimes sont redirigées vers des interfaces de phishing où la connexion au portefeuille est demandée sous couvert de « vérification de l'éligibilité » ou de « réclamation de récompenses ».

4. Une fois connecté, le code frontal malveillant déclenche des demandes d'approbation silencieuses, souvent déguisées en autorisations de routine, pour des droits de transfert NFT illimités.

5. Après autorisation, les attaquants invoquent les fonctions transferFrom directement sur les portefeuilles des victimes, vidant ainsi tous les NFT répertoriés sans autre interaction.

Exploitation de signatures dans les escroqueries Airdrop

1. De faux sites de largage présentent aux utilisateurs des invites de signature de messages Ethereum contenant un bytecode obscurci au lieu d'un texte lisible par l'homme.

2. La charge utile de signature intègre des adresses de contrat contrôlées par les attaquants, leur permettant d'exécuter une logique arbitraire après la signature.

3. Les utilisateurs approuvent sans le savoir les approbations qui accordent un contrôle total sur leurs actifs ERC-721 et ERC-1155 aux contrats contrôlés par les attaquants.

4. Les vulnérabilités de réutilisation des signatures permettent aux attaquants de relire les messages signés sur plusieurs chaînes ou contrats, amplifiant ainsi l'ampleur des dommages.

5. Certaines variantes combinent la tromperie de signature avec la façade de domaine, ce qui fait que les barres d'adresse du navigateur affichent des origines fiables tout en diffusant du contenu malveillant provenant de CDN compromis.

Détournement d’autorisation de portefeuille

1. Les pages airdrop frauduleuses injectent du JavaScript qui intercepte les événements du fournisseur de portefeuille tels que eth_requestAccounts et eth_sendTransaction .

2. Ils remplacent les boîtes de dialogue de confirmation MetaMask par défaut par des interfaces utilisateur personnalisées affichant des étiquettes trompeuses telles que « Confirmer la réclamation » ou « Vérifier le portefeuille ».

3. En dessous, ces interfaces soumettent des transactions appelant setApprovalForAll avec de vrais paramètres booléens aux adresses des opérateurs appartenant à l'attaquant.

4. Une fois approuvés, les attaquants lancent des transferts groupés via des appels SafeTransferFrom par lots ciblant des collections de grande valeur, notamment Bored Ape Yacht Club et CryptoPunks.

5. Aucun frais d'essence n'apparaît pendant la phase d'approbation, incitant les victimes à une fausse confiance avant qu'une perte irréversible d'actifs ne se produise.

Déploiement d'une infrastructure de phishing

1. Les attaquants enregistrent des domaines ressemblant aux URL officielles du projet en utilisant des caractères homoglyphes (par exemple, « opensea[.]io » contre « openseа[.]io » avec le cyrillique « а »).

2. Ils hébergent des pages de destination sur des instances WordPress compromises ou des compartiments de stockage cloud abusés pour échapper à la détection immédiate du retrait.

3. De fausses bannières de largage affichent des comptes à rebours et des fenêtres contextuelles de « réclamation de réussite » en direct générées côté client pour simuler la preuve sociale.

4. Les serveurs back-end enregistrent les adresses et les signatures des portefeuilles en temps réel, alimentant ainsi les données en scripts de vol automatisés exécutés sur AWS Lambda ou Vercel Edge Functions.

5. Les NFT volés sont immédiatement transmis à des services de mixage ou reliés à des chaînes axées sur la confidentialité comme Secret Network avant d'être revendus sur les marchés secondaires.

Questions et réponses courantes

Q : Puis-je récupérer des NFT après avoir approuvé un faux airdrop ? R : La récupération est techniquement impossible une fois transferFrom exécuté ; l'immuabilité de la blockchain empêche l'inversion.

Q : Les portefeuilles matériels protègent-ils contre les fausses signatures de parachutage ? R : Oui, si le micrologiciel applique un aperçu strict des messages et rejette les charges utiles non lisibles par l'homme, mais de nombreux utilisateurs ignorent les étapes de vérification.

Q : Pourquoi les faux airdrops ciblent-ils en premier les NFT à faible capitalisation boursière ? R : Les projets plus petits ne disposent pas d'audits de sécurité rigoureux et d'une modération communautaire, ce qui les rend plus faciles à usurper et moins susceptibles de déclencher des alertes d'arnaque rapides.

Q : La vérification d'Etherscan est-elle suffisante pour vérifier un contrat de largage ? R : Pas suffisant : les attaquants déploient des contrats fraîchement créés sans historique de transactions et imitent les structures ABI des contrats vérifiés pour paraître légitimes.