慎防釣魚！6 月 Discord NFT 詐騙增 55%、損失 2,200 萬美元，攻擊源疑自中國

數位資產合規與風險顧問公司 TRM Labs 7 月 25 日就近月來 Discord 詐騙釣魚攻擊發調查報告，稱隨著 NFT 專案火熱 Discord 吸引越來越多駭客，6 月單月利用被盜 Discord 帳戶的 NFT 相關鑄造詐騙網路釣魚攻擊增加 55 %，自 5 月起整個 NFT 社群損失約 2,200 萬美元。TRM Labs 經營的詐騙報告平台 Chainabuse 從 5 月起就接獲百餘份 Discord 攻擊報告。

▲ 6 月 2~10 日 NFT 專案 Discord 遭攻擊紀錄。（Source：TRM Labs）

Discord 駭客常見的詐騙手法

TRM Labs 分析，許多攻擊 NFT 專案 Discord 的駭客，均呈類似詐騙手法﹕

藉助網路釣魚和用詐欺帳戶冒充管理員等複雜的社會工程攻擊。
利用機器人漏洞如 Mee6，允許管理員自動分配和刪除角色並發送社群消息。
某些情況下，攻擊者甚至更新管理員設置，以禁止 Discord 版主干擾駭客操作。

TRM Labs 指出駭客試圖利用常與 NFT 鑄造事件相關的緊迫感，促使用戶迅速行動，以免錯過免費贈品或有限的白名單，下圖為詐騙者誘使 Discord 頻道成員點擊連結的釣魚圖。

針對知名項目，攻擊源頭高度相關

TRM Labs 報告又提到，釣魚主要攻擊 BAYC、 Bubbleworld、Parallel、Lacoste、Tasties、Anata 等多個著名 NFT 專案。攻擊者故意向擁有價值不菲 NFT 的用戶宣傳「BAYC、MAYC 和 Otherside 獨家贈品」，並提供詐騙連結，促使用戶以 ETH 發送鑄幣費。

當受害者點進連結後，交易會侵入錢包，並將 NFT 轉至攻擊者錢包。受害者不知道這為錢包設置 setApprovalForAll 或類似調用函數，使攻擊者批准錢包轉移 NFT 到指定錢包地址。最終被盜 NFT 全都轉移到攻擊者指定的錢包。

TRM Labs 調查部門利用工具追蹤 Yuga Labs NFT 相關詐騙者錢包。他們放售贓物，並將贓物收益分到三個錢包地址，再用混錢平台 Tornado Cash 和中間錢包洗錢。三個錢包曾於 5 月和 6 月詐騙暴露。資金轉移後，最終部分流入交易所錢包之一，錢包亦發現與 Discord 洩露有關。