跳至主要內容區塊
財經
熱線

NFT淘金潮1/賣「青蛙撞奶」3秒影片賺2萬 啾啾鞋卻被駭客騙光

Monkey Kingdom由經典名著西遊記啟發,共有2,222枚電腦演算法生成的猴子像素頭像。(圖/翻攝自Monkey Kingdom)

Monkey Kingdom由經典名著西遊記啟發,共有2,222枚電腦演算法生成的猴子像素頭像。(圖/翻攝自Monkey Kingdom)

區塊鏈衍生的NFT(非同質化代幣),在2021年從年頭燒到年尾,也吸引駭客前來「淘金」。12月5日,知名Youtuber啾啾鞋先自曝「Metamask錢包資產被駭客盜走」,21日主打猴子頭像的「MonkeyKingdom」也遭駭,耶誕節前夕,遊戲實況平台Twitch旗下加密幣平台Fractal更傳出373名會員遭詐,損失新台幣420萬元。

調研機構Chainalysis近日發布報告指出, 2021年NFT市場規模已達269億美元(約新台幣7,532億元)。這也使得NFT社群成了駭客眼中頭號大肥羊。

最新的受災戶是遊戲實況平台Twitch聯合創辦人JustinKan(簡彥豪)所創立,原定聖誕節上線的加密幣平台Fractal。12月23日簡彥豪對外證實,近日官方群組遭駭客入侵,並發出釣魚連結引誘社群內會員點入,共計373名會員遭詐,損失約15萬美元(約新台幣420萬元)。

簡彥豪說,駭客的釣魚連結在Fractal的Discord社群內共賣出3,294件詐騙NFT,Fractal承諾會賠償遭詐用戶的經濟損失,強調未來任何官方消息將會在Twitter上發布,並加上「#ProofOfJustin」的標籤。

Twitch聯合創辦人JustinKan創立的Fractal遭到駭客鎖定,373名會員遭詐。(圖/翻攝自Twitter)
Twitch聯合創辦人JustinKan創立的Fractal遭到駭客鎖定,373名會員遭詐。(圖/翻攝自Twitter)

另個國際知名NFT項目「MonkeyKingdom」,主打猴子的像素頭像,則是在12月21日證實,與Fractal遭遇雷同,都是被駭客入侵Discord社群,統計財損130餘萬美元(約新台幣3,640萬元)。

而知名Youtuber啾啾鞋日前Metamask(小狐狸錢包)裡的加密幣遭盜走,也是因Discord社群成員給的連結。

顯然這個月發生的NFT詐騙災情,全與Discord社群有關。什麼是Discord社群?該社群於2015年由Hammer& Chisel公司所創,提供遊戲玩家打遊戲時的語音溝通,因為Discord由大量機器人進行社群分類及管理,符合加密幣的DAO概念(分布式自治組織,decentralizedautonomous organization)核心精神,因此備受幣圈人士重用。

Discord成了幣圈及NFT人士取得一手消息的重要社群,尤其是「空投」訊息。空投是什麼?當新的NFT、加密幣項目準備上線前,為要提升產品概念或影響力,發行者會將部分未發行的代幣投到連結項目的錢包中,藉以獎勵及吸引早期參與者,並打響口碑。

以啾啾鞋為例,原是知識型直播主今年下半年轉入幣圈領域,11月底搭上NFT熱潮,在NFT平台OpenSea上,成功賣出一段名為「青蛙撞奶(Frogshitting milk)」的3秒影片,價格0.2枚以太幣(約新台幣2.2萬元),買家是台灣小有名氣的駭客張啟元。

啾啾鞋說,「影片賣出後就把一半放到派網(Pionex)去質押,賺點利息,剩下的就放在小狐狸錢包(Metamask,線上加密幣錢包)裡」,有天Discord社群裡的成員突然私訊他,指出CoolCat NFT項目準備「空投」了,所以就趕緊把錢包跟該名成員提供的網址進行連接。

 啾啾鞋的青蛙撞奶3秒短片以0.2枚以太幣售出,但其中0.1枚以太幣遭駭客以釣魚詐騙轉出。(圖/翻攝自OpenSea、Youtube)
啾啾鞋的青蛙撞奶3秒短片以0.2枚以太幣售出,但其中0.1枚以太幣遭駭客以釣魚詐騙轉出。(圖/翻攝自OpenSea、Youtube)

「當時已經很晚(半夜),因為多數空投可能都在台灣的凌晨時間,腦袋有點不清楚,沒意識到那個網站跟平常連接的方式不一樣,在填資訊時還把錢包最重要的『助記詞』填進網站中,

幣圈人士在區塊鏈上的加密幣資產,多存放在加密幣錢包,錢包在申請時,會取得由12個隨機排列的單詞形成的助記詞,類似「金融卡密碼」的數位金鑰,為避免助記詞曝光,多數人會手寫紀錄並藏在保險箱,在將錢包綁定在自己瀏覽器的外掛程式後,平日只需輸入密碼,不用再輸入助記詞就可與網站連結。

「那時候我以為是太久沒有登入,或者是太久沒有重開機,所以輸入密碼加上助記詞,按確定後回到第一步驟,就知道被騙了!」啾啾鞋還來不及把將加密幣轉移到另外一個錢包,「結果不到3分鐘,剩下的0.1枚以太幣已經被轉移了!」區塊鏈是去中心化,被轉走的加密幣再也追不回。

現任職資安公司「如梭世代」的駭客張啟元,也在影片下留言提醒,上述的詐騙手法稱為「釣魚詐騙」;如果瀏覽器不安全,駭客也可能引導被害人輸入惡意語法,從中擷取到錢包內的助記詞,進而將加密幣資產轉移;另個方式,則是假裝網站沒辦法叫出加密幣錢包,要求用戶輸入密碼、助記詞,再從錢包中轉移加密幣資產,「因此在操作加密幣錢包時,務必要多加注意。」

NFT資深玩家傑西進一步解釋,啾啾鞋遇到的是碰運氣賺點小錢的詐騙集團,但虛擬貨幣平台Fractal、MonkeyKingdom遇到的就是真正的駭客,騙取更大筆的加密幣,因此玩家要懂得分辨哪些是真投資,還是假投資真詐騙。