Oszuści mieli podszywać się pod artystę generatywnego Tylera Hobbsa, aby promować fałszywą emisję QQL NFT, a doniesienia sugerują, że co najmniej jedna osoba straciła środki po interakcji z tym schematem.
Podsumowanie
- Oszuści mieli podszywać się pod artystę NFT Tylera Hobbsa za pośrednictwem wielu kont, aby promować fałszywą emisję QQL.
- Członek społeczności Quit ostrzegł, że jedna osoba miała stracić środki, a inna uniknęła opróżnienia portfela dzięki pomocy Pocket Universe.
- Domniemana oszukańcza promocja odnosiła się do 900 QQL Mint Passes i ceny początkowej wynoszącej 50 ETH, co odpowiada szczegółom oryginalnej aukcji projektu z 2022 roku.
- Emitowanie QQL nie zostało ponownie otwarte na nową publiczną sprzedaż, chociaż dotychczasowi posiadacze Mint Pass mogą nadal tworzyć oficjalne NFT poprzez ustalony proces projektu.
W poście z 20 października na X wiceprezes Yuga Labs ds. blockchain Quit (@0xQuit) ostrzegł, że kilka kont podszywało się pod Hobbsa i fałszywie twierdziło, że emisja została ponownie otwarta dla opartego na Ethereum projektu sztuki generatywnej.
„PSA: emisja QQL nie została ponownie otwarta” – napisał Quit, dodając, że wie o jednej osobie, której portfel został opróżniony, oraz o drugiej, która uniknęła podobnego losu dzięki narzędziu bezpieczeństwa Pocket Universe.
Badacz zaapelował do użytkowników, aby nie wchodzili w interakcje z podszywającymi się kontami. Zgłoszona kradzież nie została niezależnie zweryfikowana, a w ostrzeżeniu nie podano żadnych adresów portfeli, hashy transakcji ani szacunków skradzionych środków.
Według postów krążących na X podszywający się promowali rzekomą aukcję holenderską obejmującą 900 QQL Mint Passes z ceną początkową 50 ETH.
Wiadomości twierdziły, że oferta była powiązana z partnerstwami obejmującymi oryginalnych twórców, chociaż żadna taka nowa aukcja nie została ustanowiona przez oficjalne materiały projektu.
Zgłoszona promocja wykorzystywała szczegóły związane z pierwotną premierą QQL w 2022 roku, kiedy to 900 Mint Passes sprzedano poprzez aukcję holenderską, która rozpoczęła się od 50 ETH.
Fałszywa emisja QQL wykorzystuje szczegóły z aukcji z 2022 roku
QQL zostało stworzone przez Tylera Hobbsa i Dandelion Mané jako wspólny projekt sztuki generatywnej, który pozwala kolekcjonerom uczestniczyć w wyborze dzieł sztuki wchodzących w skład oficjalnej kolekcji NFT.
Według oficjalnej dokumentacji projektu, QQL Mint Passes dają posiadaczom prawo do przekształcenia wybranego wyniku algorytmu generatywnego w oficjalny NFT.
Kolekcja została zaprojektowana wokół 999 przepustek, przy czym każda przepustka pozwalała jej właścicielowi na wyemitowanie jednego dzieła sztuki. Po wykorzystaniu przepustka jest spalana, a powstały NFT staje się częścią stałej kolekcji.
W przeciwieństwie do konwencjonalnych wydań NFT, w których nabywcy otrzymują dzieło sztuki wygenerowane w momencie zakupu, QQL pozwala kolekcjonerom na eksplorowanie różnych wyników przed zdecydowaniem, który z nich wyemitować.
Hobbs i Mané uruchomili projekt we wrześniu 2022 roku, oferując publiczności 900 przepustek, jednocześnie rezerwując pozostałe 99 do innych celów.
Oryginalna aukcja holenderska rozpoczęła się od 50 ETH i zakończyła się na 14 ETH za przepustkę po wyprzedaniu w ciągu niespełna godziny.
Sprzedaż wygenerowała 12 600 ETH, wycenianych wówczas na około 16,7 miliona dolarów, według ówczesnych doniesień Crypto Briefing i The Block.
Aukcja QQL wykorzystywała mechanizm zwrotu, który pozwalał udanym uczestnikom zapłacić ostateczną cenę rozliczeniową, nawet jeśli początkowo licytowali na wyższym poziomie.
Liczby związane ze zgłoszoną próbą podszycia się odpowiadają podaży i cenie otwarcia oryginalnej aukcji. Jednak dostępne dowody nie ustalają, czy atakujący skopiowali całą promocję z 2022 roku, czy wykorzystali tylko te szczegóły.
Oficjalna dokumentacja projektu mówi, że Mint Passes nie wygasają i mogą być wykorzystane w dowolnym momencie do tworzenia nowych dzieł sztuki QQL.
Posiadacze istniejących przepustek mogą zatem nadal wybijać oficjalne NFT za pośrednictwem ustalonego systemu projektu. Ostrzeżenie Quit dotyczyło rzekomego ponownego otwarcia publicznego wybijania, a nie normalnego procesu dostępnego dla posiadaczy istniejących przepustek.
Oficjalna strona internetowa QQL nadal wyświetla dzieła sztuki stworzone w ramach projektu, a jej dokumentacja kieruje kolekcjonerów do zweryfikowanych zasobów służących do wybijania i uzyskiwania przepustek.
Dokumentacja QQL ostrzega, że istnieją fałszywe kolekcje Mint Pass i nakazuje kupującym sprawdzenie oficjalnych linków przed zakupem.
Ostrzeżenie przed podszywaniem się pod Tylera Hobbsa następuje po zgłoszonym opróżnieniu portfela
Ostrzeżenie Quit z 20 października wskazało podszywanie się pod konta jako metodę wykorzystywaną do promowania rzekomej oferty QQL.
Badacz powiedział, że oszust utworzył kilka kont udających przedstawicieli Hobbsa, chociaż post nie wskazywał tych kont ani nie zawierał zrzutów ekranu fałszywych wiadomości.
Według Quit jedna osoba rzekomo utraciła środki, a inna uniknęła opróżnienia portfela po otrzymaniu ochrony od Pocket Universe.
Ostrzeżenie nie wyjaśniało, która transakcja wywołała zgłoszoną ochronę ani czy dotknięty użytkownik odwiedził fałszywą stronę internetową, zatwierdził złośliwy kontrakt lub podpisał inny rodzaj autoryzacji.
Na czas publikacji nie jest jasne, w jaki sposób przebiegł atak.
Federalne Biuro Śledcze wcześniej ostrzegało, że przestępcy podszywają się pod twórców NFT, aby promować fałszywe wydania i kraść kryptowaluty od kolekcjonerów.
W biuletynie z sierpnia 2023 r. agencja podała, że atakujący czasami tworzą konta w mediach społecznościowych, które bardzo przypominają legalne profile projektów, lub przejmują istniejące konta należące do twórców NFT.
Według raportu fałszywe promocje mogą wykorzystywać zwodnicze taktyki mające na celu wywołanie poczucia pilności i zachęcenie użytkowników do szybkiego działania.
Jak podało biuro, takie posty mogą kierować ofiary do fałszywych stron internetowych przypominających oficjalne strony projektów NFT.
Po podłączeniu portfeli ofiary mogą zostać poproszone o autoryzację transakcji, które dają złośliwym inteligentnym kontraktom dostęp do ich kryptowalut lub NFT.
Agencja ostrzegła, że atakujący mogą wykorzystać te uprawnienia do przenoszenia aktywów z portfeli ofiar bez ich zrozumienia rzeczywistego celu transakcji.
Podobne wektory ataków pojawiły się w wielu niedawnych incydentach związanych z bezpieczeństwem kryptowalut.
5 października badacze z Salus zidentyfikowali złośliwe zatwierdzenia USDG powiązane z Revenue, gdzie atakujący rzekomo uzyskali uprawnienia do wydatkowania przed przeniesieniem środków z dotkniętych portfeli.
Firma zajmująca się bezpieczeństwem podała, że zatwierdzenie i transfer nastąpiły w ramach tej samej transakcji, co pozwoliło atakującym natychmiast przenieść środki po uzyskaniu autoryzacji.
Salus zaobserwował, że skradzione środki zostały podzielone między dwa adresy w schemacie przypominającym ustalony model usługi opróżniania portfeli, chociaż nie potwierdził, że zaangażowana była ta sama infrastruktura.
Opróżniacze portfeli mogą wykorzystywać uprawnienia przyznane poprzez zwykłe transakcje blockchain, w tym zatwierdzenia tokenów i podpisane wiadomości.
Analiza opróżniaczy portfeli z lipca 2026 r. wyjaśniła, w jaki sposób złośliwe strony internetowe mogą maskować niebezpieczne uprawnienia do wydatkowania jako rutynowe wybijanie NFT, roszczenia tokenów lub prośby o weryfikację konta.
Co gorsza, niektóre zatwierdzenia pozostają aktywne, dopóki właściciel portfela ich nie odwoła, co potencjalnie pozwala autoryzowanemu kontraktowi na przenoszenie aktywów po pierwotnej interakcji.
Jak użytkownicy mogą zweryfikować legalne QQL Mint Passes?
Dokumentacja QQL podaje adres kontraktu dla kolekcjonerów, którzy chcą zweryfikować legalne Mint Passes w Ethereum.
Oficjalny przewodnik po Mint Pass wskazuje kontrakt jako 0xc73B17179Bf0C59cD5860Bb25247D1D1092c1088.
Użytkownicy mogą zweryfikować legalność QQL Mint Pass, sprawdzając jego adres kontraktu w zestawieniu kolekcji na Etherscan.
Zgodnie z dokumentacją projektu, nabywcy mogą uzyskać przepustki za pośrednictwem rynków wtórnych, ale przed zakupem powinni zweryfikować kontrakt kolekcji.
Dokumentacja rozróżnia zakup Mint Pass od użycia go do utworzenia oficjalnego QQL NFT.
Kolekcjoner musi posiadać ważną przepustkę przed wybiciem dzieła sztuki, a przepustka zostaje zniszczona po zakończeniu wybijania.
Wyjaśniając QQL w poprzednim wpisie na blogu, Hobbs potwierdził, że projekt pozwala posiadaczom wybrać, które wygenerowane dzieła sztuki staną się stałymi NFT w kolekcji.
Powiedział, że proces wybijania został zaprojektowany tak, aby trwał przez dłuższy okres, a kolekcjonerzy mogą używać swoich przepustek, kiedy wybiorą dzieło sztuki do włączenia.
