Продаж, який ви підписали, самі того не помітивши

Січень 2025. Власник трьох CryptoPunks із Києва виставляє їх на продаж на Blur. Через кілька днів у Discord йому пише «колекціонер» з «ексклюзивною пропозицією» через окремий сайт «Blur Pro». Запит на підпис подано як прийняття ставки. Насправді він підписує пакет ордерів на продаж: усі три панки по 0,1 ETH за штуку.

Зловмисник одразу виконує ці ордери. Три панки з мінімальною ціною колекції 38 ETH ідуть по 0,1 ETH кожен. Утрата — 113,7 ETH.

Чому підпис ордера поза блокчейном такий небезпечний

Blur, як і більшість NFT-маркетплейсів, дає змогу виставляти лоти й ставки через ордери EIP-712, що підписуються поза блокчейном, а дозвіл, який ви дали маркетплейсу під час першого виставлення, дає його контракту право переказати NFT, щойно ордер виконано. У момент підпису в мережу нічого не надходить. Шахрай, який умовив вас підписати ордер на продаж за ціною, близькою до нуля, просто виконує його зі свого гаманця, а контракт маркетплейсу проводить угоду точно так, як підписано.

П'ять ознак

  • Сайт, де просять підпис, — не blur.io. «Blur Pro», «Blur Plus», «Blur OTC» — усе це фейки. Лотами й ставками керують лише на blur.io.
  • Ціна мізерна порівняно з мінімальною ціною колекції. Справжні колекціонери не пишуть в особисті з пропозицією 0,1 ETH за NFT вартістю 38 ETH.
  • Підпис виставляє на продаж ваші ж NFT. Якщо запит на підпис структурованих даних показує ваших панків — або цілу пачку ваших NFT — поруч із ціною, близькою до нуля, крадіжка відбувається просто на ваших очах.
  • Поспіх в особистих повідомленнях Discord. «Пропозиція діє ще 10 хвилин» — щоб ви пропустили перевірку.
  • Ім'я в Discord легко підробити. Шахрай може скопіювати нік команди Blur з різницею в один символ.

Що робити, якщо підписали

На blur.io і на кожному іншому маркетплейсі, де ви виставляли лоти, скористайтеся функцією скасування всіх лотів і пропозицій. Це коштує газу, зате робить недійсними вже підписані ордери. Паралельно переведіть кожен NFT з ураженого гаманця на новий, а потім відкличте дозволи маркетплейсів для старого гаманця на revoke.cash. Нічого більше не підписуйте, поки не розберетеся, що саме підписали.

Правило на майбутнє

Ставтеся до кожного підпису на маркетплейсі як до договору в реальному житті: прочитайте його, назвіть контрагента, ціну й строк. Якщо хоча б одне з трьох не зрозуміле — відмовляйтеся.