创作者：茉莉花
全文文章标题及连接：《NFT访问工具PREMINT遭黑 损失超37万美元》
「不必受权一切表明为『set approvals for all』的买卖！」中国北京时间7月17日在下午，NFT浏览列表专用工具PREMINT根据官方网twiter公布预警信息。由于有用户提示，该专用工具的网址被黑客侵入，早已有NFT收藏者的收藏品被盗。
接着，区块链技术安全机构慢雾确定，PREMINT网址遭黑客进攻，黑客在网址中通过嵌入故意JS（JavaScript）文档来执行钓鱼攻击，出轨用户签字「set approvals for all」的买卖，进而偷盗用户的NFT财产。
另一家安全机构 Certik 跟踪到6个与黑客进攻相关的关键详细地址，「大概使用价值280 ETH（约38.1万美金）的NFT被盗。」用户被盗的NFT涉及到Bored Ape Yacht Club、Otherside、Moonbirds、Oddities 和 Goblintown 等著名NFT。
PREMINT 和安全机构均提醒用户，应用该网址的用户必须检查自己的钱包受权设定，可使用以太币电脑浏览器或Revoke等专业专用工具撤销钱包受权。
PREMINT 能够预告片各种各样 NFT 的公布，但无法预知黑客对它侵入。7月17日，在有用户汇报NFT遗失后，PREMINT根据官方网twiter传出报警，「不必受权一切表明为『set approvals for all』的买卖！」
在今年的3月底发布的 PREMINT 是一个浏览NFT列表的专用工具，它收集了销售市场上NFT的预购及赠送品的列表，原创者能通过该专用工具搭建浏览列表，NFT收藏者则能通过它随时随地掌握将要Mint（公布或锻造）的NFT产品。
PREMINT 官方网站表明，有超出12000个新项目已使用它控制自己的浏览列表，有超出239万只钱包连接了该专用工具。
7月17日，几百万个连接钱包中还包括了黑客的故意钱包。PREMINT表明，一个不明的第三方控制了一个文档，造成用户看见了一个虚假的钱包连接。
在线上的数据加密钱包上，点一下「set approvals for all」代表着用户为每个人设置了「准许买卖」，当这一受权被钓鱼攻击运用时，黑客将能够迁移你加密资产。
PREMINT逐渐统计分析被盗用户的信息内容
进攻产生后，PREMINT提示用户，运用能够取消授权的Revoke工具撤消受权，并把所有珍贵的NFT迁移到别的钱包中。另有NFT用户提示，也可以用以太币官方浏览器的「Token Approval」专用工具撤消钱包受权。
目前为止，早已有6个以太币详细地址被标识为与本次进攻相关的「钓鱼攻击黑客」详细地址。今天一早，PREMINT 在官方网推特上发布了申请表连接，以整理和统计分析被盗用户的信息内容，包含受影响的钱包详细地址、被盗NFT钱包的OpenSea链接、用户的推特名。
PREMINT受到攻击后，安全机构慢雾发布了安全提醒，该组织公布，7月17日16时(UTC 8)，premint.xyz遭受黑客进攻，黑客在该网址中通过嵌入故意的JS（JavaScript）文档来执行钓鱼攻击，出轨户签字 「Set Approval For All」的买卖，进而窃取用户的 NFT 等财产。
另一家安全机构 Certik 整理了更详尽的 PREMINT 事件分析，该公司表达，一名黑客将故意的JavaScript代码上传入premint.xyz，进而毁坏了该网址。恶意程序根据URL引入网址，但是，因为服务器域名不会再存有，文档也就不会再可以用，「但这类链上进攻的危害依然由此可见。」
Certik 公布，一共有6个详细地址与进攻立即有关，进攻是以UTC 时长早上7时25分逐渐，由于有2个故意钱包详细地址（0x0C979……和0x28733……）在那时候出现迁移被盗NFT的姿势，恶意程序也很有可能在当时被引入到PREMINT的官网网址中，这两个钱包包括的NFT包括 Bored Ape Yacht Club（BAYC）、Otherside、Oddities 和 Goblintown等，其他4个钱包参加了被盗NFT的迁移。
黑客详细地址迁移了窃取的Goblintown NFT
「这两个钱包共偷走了314个NFT，包含BAYC、Otherside、Globlintownm 等，」Certik统计分析，本次进攻一共损害了约 280 ETH，额度为381818 美金，使之变成在今年的较大的 NFT 黑客进攻之一。
虽然NFT是Web3的物质，但Certik在事件分析中表明，Web2一直是互联网的关键情况，用户在项目投资 NFT和加密资产的时候会依靠Web2网址的便捷性，「可是，Web2 系统架构一般会根据集中系统漏洞造成服务器宕机。」
Certik举了一个案例——现在 6 月，在BAYC上发生过一起互联网钓鱼攻击，社区治理人Boris Vagner的Discord 帐户遭受侵入，造成网络攻击在假BAYC网址的Discord 频道栏目上发布了对于BAYC和 Otherside 持有人的虚报连接，这种钓鱼方式让网络攻击从被盗的NFT中获益约31.9万美金。
第二个案例是NFT艺术大师 Beeple的twiter帐户被盗事情，该事情造成他们的推特粉丝损害了使用价值约43.8万元的 NFT 和加密资产。在第一次进攻中，黑客向Beeple的推特关注者发布了一个合作连接，造成有用户损害了大概 7.3万美金。接着，第二次进攻袭来，耗尽了关注者的加密资产和NFT钱包。
「这种进攻说明，Web2存有去中心化的易损性。」Certik觉得，Web2的安全性易损性发生时，会给NFT产生「毁灭性的损害」。
你使用过 PREMINT 网址吗？
世链NFT是业内领先的NFT信息资讯平台，汇集全球NFT行业资讯，覆盖NFT从创作、发行到实际应用的五大前沿领域，聚焦国内外NFT数字藏品信息、NFT交易平台，帮助NFT爱好者挖掘投资机会，全方位打造最新、最及时、最全面的NFT资讯平台。