警惕Free Mint新騙局：參與Premint中獎后資產被盜_NFT

原文作者：MontanaWong

原文編譯：0x9F、czgsws，BlockBeats

本文梳理自Web3創作者工具應用?Sprise和Pally.gg聯合創始人?MontanaWong?在個人社交媒體平臺上的觀點，BlockBeats對其整理翻譯如下：

「degenmeta」是NFT領域的當前趨勢，團隊以FreeMint的形式啟動項目，很少或直接不提供項目路線圖，這種形式被諸如?goblintown?等項目成功帶火。這種形式在熊市中很好，因為FreeMint起碼不會虧本。

CirclesUBI：請用戶警惕Uniswap上的Circles假幣:CirclesUBI發推表示，Circles并沒有上線Uniswap，請用戶不要在上面買名為“Circles”的代幣。CirclesUBI系統本身沒有單一的Circles代幣，Circles并不是通用的可互換代幣，注：在Circles注冊的用戶都會有他們自己版本的Circles代幣，因此，CirclesUBI系統中的代幣本身的設計決定其不會是投機性資產。[2020/10/19]

騙子們利用這一點。他們現在不再創建虛假項目來騙取你的ETH，而是營造FOMO氣氛誘導你參加免費的「degen」Mint項目，騙你授予他們權限轉走你錢包里NFT。

動態 | 新加坡：警惕冒充中國官員要求居民進行比特幣轉賬的騙局:據Straits Times消息，新加坡在4月27日發布的警報中稱，有人冒充中國官員，要求受害者使用比特幣機器轉賬，請居民不要上當受騙。 于4月18日發現Tampines One購物中心的故意破壞案件。接受調查的45歲男子透露，他接到自稱外國執法人員的電話。“官員”聲稱該名男子因跨國犯罪正在接受調查。該名男子被告知兩次使用Tampines One的比特幣機器向其賬戶轉賬總計1000美元。他表示自己“官員”的指示移除并處理機器旁邊的詐騙警告海報。正在繼續調查此案。稱，新加坡政府機構不會要求通過電話或社交平臺（比如微信或Facebook）付款，或者要求您向匿名人士提交現金；也不會要求個人銀行信息，如網銀密碼。外國居民如果接到自稱是本國警察或政府官員的電話，應該打電話給大使館或高級專員公署，核實來電者的說法。不要在網站上或電話向來電者提供個人信息和銀行詳細信息，不要根據來電者的指示進行任何資金轉賬。[2019/4/27]

通常他們首先使用Premint等合法服務，為他們的預售名單抽獎。Premint不會對使用他們服務的項目做任何審查，但很多人不知道這一點，還以為這些抽獎活動「有Premint背書」。

世界知名金融公司副董事看好區塊鏈技術但對比特幣持警惕態度:據雅虎財經消息，伯克希爾·哈撒韋副董事Charlie Munger在伯克希爾2018年年會上談及數字貨幣的問題，表示：“這只是癡呆癥。我認為數字貨幣交易專員是惡心的。就像其他人在交易糞便，而你決定‘我不能置身事外’。”但Munger也提出對比特幣的積極看法，他認為比特幣背后的計算機科學是人類思維的巨大勝利，這也是吸引這些人的地方。他們實際上創造了一個很難實現但并非不可能的產品。這很奇怪。但他們已經做到了。”事實上很多知名金融人士對區塊鏈持積極態度，但對比特幣保持警惕。[2018/5/12]

更糟糕的是，Premint允許抽獎創建者提出某些要求，例如「必須持有1枚MoonbirdsNFT」才能參加。這可以在不經過原項目方同意的情況下，搞出假裝得到官方認可的虛假抽獎活動。

「白名單預售」時你仍然會用持有高價值NFT的錢包參與鑄造，因為最初參與抽獎需要用到它們。這就是你的NFT會被盜的地方，讓我們看看這是如何進行的。

今天這一騙局出現了一個新版本「aLLtHiNgbEgiNs」，導致幾枚高價值的MoonbirdsNFT被盜。

如果你去他們的網站，它看起來就像一個典型的擺爛FreeMint項目，帶有連接錢包和Mint選項。不過一旦你深入了解，就會發現這個網站絕不是這么簡單。

可以注意到的第一件事，就是他們網站的大量代碼都復制自?goblintown?網站。

其次，如果你查看頁面上的JavaScript，有一個名為signupxx44777.js的文件，這就是漏洞所在。

連接錢包后，該代碼就會開始運作，字面上寫著「drainNFTs」。然而該代碼的真正目的是：

1.瀏覽你地址里的內容?

2.使用OpenSea的API來確定哪個是你最值錢的NFT?

3.識別出你最值錢的NFT并找到它的智能合約信息

4.一旦你點擊「mint」，它就會產生一筆交易與你最值錢的NFT的合約發生交互，這一setApprovalForAll交易會授予騙子轉走你NFT的權限

因此，盡管你認為你只是執行了一次典型的FreeMint交易，但實際上你已經允許騙子從你的錢包中轉走那些你最值錢的NFT，簡單粗暴。

總之，這一漏洞利用的工作原理如下：

1.圍繞免費的DegenMint項目進行炒作，使用Premint等合法工具誘使高價值錢包參與

2.創建一個帶有惡意JavaScript的網站，掃描你的錢包以獲得最高價值的NFT

3.虛假的Mint選項，實際不會產生一筆Mint交易，而會創建一筆授予騙子轉走你NFT?權限的惡意交易

4.用相同的代碼在不同的「項目」下重復步驟1-3

這些騙局中大部分可能都是一個人搞出來的，一定要注意安全。如果你認為自己受到了這些騙局之一的影響，你可以通過?revoke.cash?撤銷對所有值錢NFT的訪問權限，或盡快將它們轉移至硬件錢包。

原文鏈接

Tags：INTMINTMINNFTinto幣合法嗎PlayerMintMintoCITIES Vault (NFTX)

PEPE幣