2022年04月26日 11時10分セキュリティ

3億5000万円相当の人気NFTが販売元の公式Instagramアカウントのハッキングで盗まれる

サルのアイコンの非代替性トークン(NFT)を販売する「Bored Ape Yacht Club(BAYC)」の公式Instagramアカウントがハッキングに遭い、総額280万ドル(約3億5000万円)相当のNFTが盗まれたと発表されました。

NFTs Stolen After Bored Ape Yacht Club Instagram, Discord Hacked
https://www.coindesk.com/tech/2022/04/25/at-least-13m-in-nfts-stolen-after-bored-ape-yacht-club-instagram-discord-hacked/

Bored Ape Instagram account hacked: NFTs worth $2.8 million stolen
https://www.theblockcrypto.com/post/143328/bored-ape-instagram-account-hacked-nfts-worth-2-8-million-stolen

Bored Ape Yacht Club Instagram Hacked, NFTs Worth Millions Stolen
https://www.vice.com/en/article/88gpxg/bored-ape-yacht-club-instagram-hacked-nfts-worth-millions-stolen

報道によると、ハッカーはBAYCの公式Instagramアカウントを乗っ取り、「無料配布を行います」という名目でBAYCの公式サイトを模した詐欺サイトのURLを投稿。無料配布に釣られてきたユーザーに対し、実際には資産を送信してしまうトランザクションに署名するように促しました。

This morning, the official BAYC Instagram account was hacked. The hacker posted a fraudulent link to a copycat of the BAYC website with a fake Airdrop, where users were prompted to sign a ‘safeTransferFrom’ transaction. This transferred their assets to the scammer's wallet.
— Bored Ape Yacht Club (@BoredApeYC) April 25, 2022

この詐欺による被害については報道時点で公式な集計が行われていない状態ですが、ハッカーが用いたイーサリアムアドレスに残された記録から、最低でもBored Apeシリーズ4種・Mutant Apeシリーズ6種・Bored Ape Kennel Clubシリーズ3種に加えて、CloneX・EightBit・Alien Fren・Toxic Skull Clubなど人気NFTシリーズのアイテムなどが盗まれたことが確認されており、トータルの被害はNFT91個、最低落札価格から見積もった被害総額は280万ドル(約3億5000万円)とされています。

Damn the BAYC Instagram hacker stole 4 BAYC, 7 MAYC, 3 BAKC, 1 CloneX, & more ( 91 NFTs in total)

Hacker Address:https://t.co/0ngJ4SKV4G pic.twitter.com/9U2OGPKMmP
— zachxbt (@zachxbt) April 25, 2022

BAYCは公式Instagramアカウント上の詐欺投稿をすでに削除しており、公式Twitterアカウントで「公式Instagramアカウントがハッキングされたようです。リンクをクリックしたりウォレットをリンクしたりといった行動を取らないでください」という警告をツイートしています。

????There is no mint going on today. It looks like BAYC Instagram was hacked. Do not mint anything, click links, or link your wallet to anything.
— Bored Ape Yacht Club (@BoredApeYC) April 25, 2022

公式発表によると、BAYCの公式Instagramアカウントは二段階認証が有効化されていたのにもかかわらずハッキングを受けたとのこと。ハッカーがどのような手法を用いて二段階認証を突破したかについては、報道時点で判明していません。

なお、BAYCは2022年4月1日にDiscordサーバーをハッキングされたばかりでした。

大手NFTコミュニティのDiscordサーバーがBOT経由でハッキングされたと判明 - GIGAZINE