NFT假空投是如何運作的？

假空投機制

1. 攻擊者部署模仿合法 NFT 品牌的假冒項目域，通常使用網域仿冒或子網域欺騙來欺騙使用者。

2. 他們在 Discord、Twitter 和 Telegram 頻道上發布虛假公告，聲稱為早期支持者或白名單參與者提供獨家空投資格。

3. 受害者被重定向到網路釣魚介面，以「驗證資格」或「領取獎勵」為幌子請求錢包連接。

4. 連線後，惡意前端程式碼會觸發靜默批准請求（通常偽裝成例行權限）以獲得無限的 NFT 轉移權限。

5.授權後，攻擊者直接在受害者錢包上呼叫transferFrom函數，無需進一步交互即可耗盡所有列出的NFT。

空投詐騙中的簽名利用

1. 假空投網站提供使用者以太坊訊息簽名提示，其中包含模糊的字節碼而不是人類可讀的文字。

2. 簽章負載中嵌入了攻擊者控制的合約位址，使其能夠在簽章後執行任意邏輯。

3. 使用者在不知不覺中批准了將其 ERC-721 和 ERC-1155 資產完全控制權授予攻擊者控制的合約的批准。

4. 簽章重用漏洞允許攻擊者跨多個鍊或合約重播簽章訊息，擴大損害範圍。

5. 某些變體將簽章欺騙與網域前置結合，使瀏覽器網址列顯示可信任來源，同時提供來自受損 CDN 的惡意內容。

錢包權限劫持

1. 詐騙空投頁面注入 JavaScript，攔截錢包提供者事件，例如eth_requestAccounts和eth_sendTransaction 。

2. 他們使用顯示誤導性標籤（如「確認聲明」或「驗證錢包」）的自訂 UI 覆蓋預設的 MetaMask 確認對話方塊。

3. 在下面，這些介面將使用布林 true 參數呼叫setApprovalForAll 的事務提交到攻擊者擁有的運營商位址。

4. 一旦獲得批准，攻擊者就會透過批量safeTransferFrom調用發動批量傳輸，目標是 Bored Ape Yacht Club 和 CryptoPunks 等高價值收藏。

5. 審批階段不產生gas費，在造成不可挽回的資產損失前，讓受害者產生虛假信心。

網路釣魚基礎設施部署

1. 攻擊者使用同形文字字元註冊類似官方專案 URL 的網域名稱（例如，「opensea[.]io」與帶有西里爾字母「а」的「openseа[.]io」）。

2. 他們在受感染的 WordPress 執行個體上託管登陸頁面或濫用雲端儲存桶來逃避立即刪除偵測。

3. 虛假空投橫幅顯示倒數計時器和客戶端產生的即時「聲明成功」彈出窗口，以模擬社交證明。

4. 後端伺服器即時記錄錢包位址和簽名，將資料輸入到在 AWS Lambda 或 Vercel Edge Functions 上執行的自動盜竊腳本。

5. 被竊的 NFT 會立即轉送到混合服務或橋接到 Secret Network 等注重隱私的鏈上，然後再在二級市場上轉售。

常見問題及解答

Q：批准虛假空投後我可以恢復 NFT 嗎？ A：一旦transferFrom執行，技術上就不可能恢復；區塊鏈的不變性可以防止逆轉。

Q：硬體錢包可以防止假空投簽名嗎？答：是的，如果韌體強制執行嚴格的訊息預覽並拒絕非人類可讀的有效負載，但許多用戶會跳過驗證步驟。

Q：為什麼虛假空投首先針對低市值的 NFT？答：較小的項目缺乏強大的安全審核和社群審核，這使得它們更容易被冒充，並且不太可能觸發快速的詐騙警報。

Q：檢查 Etherscan 足以驗證空投合約嗎？答：還不夠——攻擊者部署新創建的零交易歷史合約，並模仿經過驗證的合約 ABI 結構以顯得合法。