“警报！警报！警报！”，一只手机躺在床头柜上，吱哇乱叫。
Michael J（以下简称MJ）熟睡中被惊醒，拿起手机一看，来自加密艺术平台Nifty Gateway出售商品警报、各个信用卡商的欺诈警报，充斥着他的手机界面。
“坏了！”MJ瞬间清醒，一下子坐起身来，火速打开Nifty Gateway准备转移资产，可惜为时已晚，他所有的NFT收藏品全被清空，黑客甚至还用MJ的数字钱包购买了价值1万美元的新NFT，一并转走了。
几分钟时间，MJ价值数十万美元的NFT藏品化为乌有，再也找不回来了。
Nifty Gateway是一家注册在美国的加密艺术品交易平台。
有人说，这种情况不能找Nifty Gateway维权吗？NFT数字作品不是锚定产权人，不可更改吗？难道没有办法吗？MJ也这么想，找到Nifty Gateway。
“由于记录了包括转账在内的所有交易，因此我知道我被盗的NFT发送到的2个具体帐户以及购买人信息。”MJ将此提供给Nifty Gateway，此时黑客在Discord频道上寻找买家。
对此，Nifty Gateway发表声明说，正在对MJ事件进行分析。“初步评估表明此事件影响有限，未受影响的帐户都启用了2FA(Two-factor-authentication双元验证法)，并且可以通过有效的帐户凭据获得访问权限。”
加密交易所Liquid因去年11月黑客入侵或已泄漏2万余个用户信息:日本加密交易所Liquid今日公布针对去年11月因遭入侵而用户数据泄漏的最终调查结果。Liquid表示，包括电子邮件地址，名称，加密密码，API密钥等169,782项用户数据信息已泄漏。其中，可能被非法访问的个人信息是在2018年10月之前进行KYC过程的用户，例如用户身份证，自拍图片，住址证明等本人确认文件28,639个。此前报道，去年11月13日加密交易所Liquid发生入侵事件，用户数据或因安全漏洞而暴露。（Jp.cointelegraph）[2021/1/20 16:36:52]
在境外NFT炒作浪潮里，除了价格泡沫外，参与者还会面临资产安全风险。
事实证明，随着NFT大热，资本快速涌入，网络罪犯也在将他们的注意力转向NFT领域。近几个月来，NFT市场蓬勃发展，数字艺术品资产被盗事件也发生的越来越频繁。
强大的元宇宙难道无法保护一张数字图片吗？为此，《链新》采访了多位一线技术人员，试图分析出NFT数字资产被盗一事背后的底层技术逻辑、隐藏问题、行业看法以及可防范措施。
2021年4月，黑客珀森从佳士得的网站上下载并伪造了Beeple的《每一天：第一个5000天》文件，然后通过Beeple钱包铸造了另一个铸币，在一个NFT平台上挂牌出售。
区块链分析公司：Kucoin黑客开始使用Wasabi钱包:根据区块链分析公司Elliptic的说法，Kucoin被盗的比特币再次处于移动状态。据此前报道，黑客曾选择使用名为ChipMixer的混合器服务。目前黑客使用的是Wasabi钱包。（The Block）[2020/11/3 11:28:59]
做完这一切，珀森在自己的网站NFTheft上，发表了一篇题为《我为什么这么做》的文章，直言:“才华横溢、经验丰富的创作者无法为他们的作品提供任何必要的保障。”，“没有任何权利或保护措施来防止他们的艺术品被盗或被误用。”
这是黑客珀森的一场行为艺术，但他说的话却比他的行为更吸引人。
业内人士告诉《链新》，一个典型的NFT常分成两个独立的部分，存储在链上的智能合约或ERC-721标准规范，以及数字艺术品本身。目前，访问艺术品的主要模式是使用URL（网络地址），而非数字作品直接上链。
从事数字艺术品的经营的凯拉尼·尼科尔（Kelani Nichole）曾公开表示对ERC-721的质疑，称这种模式是危险的，其直言 “如果哪天NFT平台的服务器宕机了，或者他们的IPFS（分布式文件存储系统，一种常见的防护措施）节点宕机了，你花很多钱买的内容将无法访问”。?
动态 | 罗马尼亚黑客团伙成员因加密劫持等罪行被判刑:金色财经报道，根据一份新闻稿，罗马尼亚黑客团伙Bayrob Group的两名成员Bogdan Nicolescu和Radu Miclaus因涉嫌21种不同的电汇欺诈、、身份盗窃和其他罪行被分别判处20年和18年徒刑。该团伙还被指控开发加密劫持恶意软件，并利用该恶意软件在40万台受感染的计算机上挖掘加密货币，窃取了总计400万美元。[2019/12/10]
事实上，即便是用户采用了IPFS进行维护，还有不少因素同样会导致URL被破坏，以至于类似Checkmynft.com（用户可以插入合同地址和令牌ID检查URL状态检验）等平台应运而生。
而就在今年3月，Checkmynft发现，已经使用过IPFS存储的Grimes、DeadMau5和Steve Aoki等用户的NFT出现无法加载的情况，最终文件外流。虽然文件外流没有对市场造成太大影响，却也加重了人们对NFT的储存方式的担忧。
既然如此，为什么不直接选择，简单直接的数字艺术品直接上链呢？
艾贝链动 CEO 叶新告诉《链新》记者：“NFT选择基于智能合约URL指向的形式存在，还是作为独立的作品直接上链，本质上是成本问题。”
动态 | 黑客正对EOS全网实施“撒网式”攻击测试 有合约中招:从昨天10:09开始，PeckShield安全盾风控平台DAppShield监测到有黑客正在使用已知的攻击手段如假EOS转账等，测试攻击EOS主网上超过290个合约，且已经有合约中招。DAppShield平台依托自建的攻击特征监测库，对黑客链上数据追踪发现：此前有黑客曾一度测试实施全网攻击，但由于不同游戏玩法不同鲜有成功，而此次黑客通过对不同游戏精心构造参数，导致部分合约中招。PeckShield安全人员提醒，已知攻击特征往往会被黑客用来“撒网式”攻击测试，开发者应在合约上线前做好安全测试，特别是要排除已知攻击手段的威胁，必要时可寻求第三方安全公司协助，帮助其完成合约上线前攻击测试及基础安全防御部署。[2019/1/9]
艾贝链动是一家区块链领域安全产品与技术服务公司，业务集中在数字身份、数字资产凭证、资产追踪服务等方面。
简单计算两种储存方式的成本，目前来说，以太坊的存储成本是256bit=32字节=20 K gas，假设当前gasPrice是100 gwei，ETH价格为3000美元，那20K gas成本就为6美元。
普遍URL都在64字节以内，所以一个URL在以太坊网络正常情况下的存储成本大约是12美元左右，通常NFT合约只存了一份URL前缀并使用不同的id拼接出完整的URL。
动态 | 黑客为窃取比特币发布恶意软件感染近70万个网站:加密货币黑客袭击了一个在互联网上广泛使用的流量分析服务StatCounter。据ZDNet报道，在一次有针对性的攻击中，黑客侵入了StatCounter，以至于超过68.8万个网站被发现加载了恶意脚本。[2018/11/7]
但如果是独立上链的话，以Cryptopunk为例，一张图大概需要3000字节，也就是2000 K gas，约600美元，其成本将会是普通URL上链成本的50倍，1万张图就是600万美元。
倘若再遇到以太坊网络拥堵，独立上链的gasPrice成本将超出想象。
所以说，从成本上考虑，URL是目前虽然有漏洞却是最具性价比的选择。
那么，黑客们究竟是如何一步步从潜在的技术漏洞，到真正窃取他人的NFT资产的呢？
据链圈专业人士介绍，尽管区块链账户号称是不可变的，但智能合约比许多人想象的更容易被窃取和伪造。而且，由于NFT交易可能会带来丰厚的利润，黑客就有了进一步攻击的动机。
叶新告诉《链新》，近年来NFT 市场频发资产被盗事件主要原因是NFT资产的价值及流通性大幅提升。事实上，个人钱包被盗事件一直很多，只是过去谈的是加密货币，现在谈的是NFT，黑客们自然会在掌握受害者私钥后将 NFT 转走套现。
这却是一件吊诡的事：NFT是一种防篡改的电子账本，对原始数字艺术进行认证和定义，还可以向艺术家提供永久的交易分成；人们基于相信制作NFT的区块链技术会带来切实好处而引发2021年上半年的“NFT抢购潮”和逐渐走高的价格；而这个价值24亿美元的新兴行业所使用的技术基础却很差，无法实现它所给出的承诺，短时间内还无法找到根治之策。
既然如此，或许尝试了解黑客们盗走NFT的方式，能在某种程度上减少一些受害者。
据《链新》了解，用户NFT数字资产被盗就是因为所属钱包私钥遭到了泄露或用户在不知情的情况下授权了非法转账交易行为。而要做到这一点，离不开用户的“配合”，简单来说，即用户在不知情的情况下进行了授权，可能有以下三种情况：?
1.用户没能保管好私钥，比如将私钥信息储存在邮箱等云存储上，或是误发到通信软件或是误贴到钓鱼网站等，也就是所谓的“私钥触网”。例如在缺乏 2FA （双因素验证）的情况下，黑客可以暴破邮箱弱口令将私钥截获；
2、用户错误授权，黑客可利用搭建虚假网站、虚假钱包或者构建虚假项目取用户授权，进而利用智能合约中 approve/transferFrom 的特性在用户没有感知的情况下盗取资产。在 NFT 的场景，由于资产可能带有图片或视频，还存在一个有别于币的攻击面，黑客可能通过交易网站的漏洞由恶意图片触发看似合法的授权弹窗，诱用户点击；
3、私钥存储设备被入侵，这是更进阶的一种盗取私钥的方式。任何联网的设备都可能通过钓鱼邮件，word 文件等方式被黑客安装木马，假设用户以明文方式存储私钥或者加密口令过于简单，黑客都可能远程盗取私钥，因此储存私钥的设备需要即时更新安全补丁及安装防软件定期扫描，用冷钱包操作私钥是更安全的做法。
要杜绝此类事件发生，除了要知道黑客们惯用手段、提高日常警惕之外，不同平台之间权责明晰也非常必要，可NFT正处于萌发阶段，现有制度和人们的共识还未完善，需要时间搭建完整体系。
不过在叶新看来，对于个别用户因私钥被盗或被钓鱼造成的 NFT 盗窃事件，目前来看责任主要在于用户自己。这是加密市场去中心化市场的主要特性。
而钱包方、交易平台、拍卖平台有义务在产品使用过程中层层设防，在自身安全保障过硬的基础上，还应做好用户安全意识教育，钓鱼陷阱普及等认知教育工作。
体系不够健全，行业自当努力，NFT的存储方式有问题需要解决，不少区块链创业公司都希望能在这里裨补阙漏、贡献力量。
比如，区块链服务和安全公司RubiX的CEO和创始人尼廷·帕拉瓦利(Nithin Palavalli)，它们认为目前的存储选择还不够，于是发明了一种新的机制——通过该模型在区块链上验证交易，允许用户在链上存储大量数据，帮助资产防护黑客攻击。
而对于那些看重NFT中文件的用户来说，文件的丢失可能会令人崩溃。
对此，RubiX与艺术家合作，使用生物识别技术访问创建了一种安全性更高的文件，还与微软智能安全协会(Microsoft Intelligent security Association)合作，开发了几个分散的安全协议，作为区块链安全产品的一部分，这些解决方案或许会令NFT市场更好地运转。
另外，知识产权律师杰夫·格鲁克(Jeff Gluck)一直关心着与艺术家们权利息息相关的智能合约。他表示，由于没有铸造的集中标准，艺术家最终会被去转售分成，于是他创立了提供智能合约的CXIP实验室，可以对任何平台协议进行转译。
储存选择、文件流失、智能合约，似乎一切正如叶新所言，漏洞是暂时的，需要在行业进步过程中一点点规避的。就像早期的 DeFi 协议也存在大量攻击事件，但随着项目开发者普遍安全意识提升，攻击事件就逐步降低，NFT市场也会经历这么一个过程。
信誉系统可以激励参与者的高质量贡献,包括内容创造、内容调节、社区构建和规则设置。这对任何Web?3项目的发展和持续十分关键。但要设计一套好的信誉系统,需要考虑信誉情况、可信度等诸多方面.
1900/1/1 0:00:00七年前,美国纽约的 Hip-Hop 乐队?Wu-Tang Clan?创作了其独一无二的专辑《Once Upon a Time in Shaolin》,以抗议数字时代音乐的贬值.
1900/1/1 0:00:00据欧科云链最新数据显示,当前以太坊销毁总量超过了50万个ETH,销毁速率5.21 ETH/分钟；而当前销毁ETH数量前三的协议分别是OpenSea 7.42万ETH、Uniswap V2 2.7.
1900/1/1 0:00:00移动支付网消息：近年来,以比特币为代表的虚拟货币快速发展,引起了各国监管部门的广泛关注。一般而言,虚拟货币大致可以分为两种类型,一种以比特币为代表,虚拟资产属性更为突出,一定程度上成为流动性超发.
1900/1/1 0:00:00姚前? ?中国证监会科技监管局局长在纸媒时代,证券的形式是纸质凭证,立“字”为据;在电子化时代,证券无纸化,以“第三方电子簿记”为据;在数字时代,证券的形式则是可信数字凭证,立“数字”为据.
1900/1/1 0:00:002021年10月8日,麦当劳中国发布首个NFT创意作品“巨无霸魔方”,一共188份,庆祝其进入中国内地市场31周年以及位于上海西岸的新总部大楼正式启用.
1900/1/1 0:00:00
火星链