Des escrocs se seraient fait passer pour l'artiste génératif Tyler Hobbs afin de promouvoir un faux mint de QQL NFT, et des rapports suggèrent qu'au moins une personne a perdu des fonds après avoir interagi avec ce stratagème.
Résumé
- Des escrocs se feraient passer pour l'artiste NFT Tyler Hobbs via plusieurs comptes afin de promouvoir un faux mint de QQL.
- Le membre de la communauté Quit a averti qu'une personne aurait perdu des fonds, tandis qu'une autre a évité un vidage de portefeuille grâce à l'aide de Pocket Universe.
- La prétendue promotion frauduleuse faisait référence à 900 QQL Mint Passes et à un prix de départ de 50 ETH, correspondant aux détails de l'enchère originale du projet en 2022.
- Le mint de QQL n'a pas rouvert pour une nouvelle vente publique, bien que les détenteurs existants de Mint Pass puissent toujours créer des NFT officiels via le processus établi du projet.
Dans une publication du 20 octobre sur X, Quit (@0xQuit), vice-président de la blockchain chez Yuga Labs, a averti que plusieurs comptes se faisaient passer pour Hobbs et affirmaient faussement que le mint avait rouvert pour le projet d'art génératif basé sur Ethereum.
« PSA : le mint de QQL n'a pas rouvert », a écrit Quit, ajoutant qu'il était au courant d'une personne dont le portefeuille avait été vidé et d'une autre qui avait évité un résultat similaire grâce à l'outil de sécurité Pocket Universe.
Le chercheur a exhorté les utilisateurs à ne pas interagir avec les comptes usurpateurs. Le vol signalé n'a pas été vérifié de manière indépendante, et aucune adresse de portefeuille, hash de transaction ou estimation des fonds volés n'a été fourni dans l'avertissement.
Selon des publications circulant sur X, les usurpateurs faisaient la promotion d'une prétendue vente aux enchères hollandaise portant sur 900 QQL Mint Passes avec un prix de départ de 50 ETH.
Les messages affirmaient que l'offre était liée à des partenariats impliquant les créateurs originaux, bien qu'aucune nouvelle enchère de ce type n'ait été établie par les documents officiels du projet.
La promotion signalée utilisait des détails associés au lancement original de QQL en 2022, lorsque 900 Mint Passes avaient été vendues via une vente aux enchères hollandaise commençant à 50 ETH.
Le faux mint de QQL réutilise des détails de l'enchère de 2022
QQL a été créé par Tyler Hobbs et Dandelion Mané comme un projet d'art génératif collaboratif qui permet aux collectionneurs de participer à la sélection des œuvres incluses dans sa collection officielle de NFT.
Selon la documentation officielle du projet, les QQL Mint Passes donnent à leurs détenteurs le droit de transformer une sortie sélectionnée de l'algorithme génératif en un NFT officiel.
La collection a été conçue autour de 999 passes, chaque pass permettant à son propriétaire de minter une œuvre. Une fois utilisée, la pass est brûlée, et le NFT résultant devient partie intégrante de la collection permanente.
Contrairement aux sorties NFT conventionnelles, où les acheteurs reçoivent l'œuvre générée au moment de l'achat, QQL permet aux collectionneurs d'explorer différentes sorties avant de décider laquelle minter.
Hobbs et Mané ont lancé le projet en septembre 2022, en offrant 900 passes au public tout en réservant les 99 restantes à d'autres fins.
La vente aux enchères hollandaise originale a commencé à 50 ETH et s'est clôturée à 14 ETH par pass après avoir été vendue en moins d'une heure.
La vente a généré 12 600 ETH, évalués à environ 16,7 millions de dollars à l'époque, selon des reportages contemporains de Crypto Briefing et The Block.
L'enchère de QQL utilisait un mécanisme de remise qui permettait aux participants retenus de payer le prix de compensation final, même s'ils avaient initialement enchéri à un niveau plus élevé.
Les chiffres associés à la tentative d'usurpation signalée correspondent à l'offre et au prix d'ouverture de l'enchère originale. Cependant, les preuves disponibles n'établissent pas si les attaquants ont copié l'intégralité de la promotion de 2022 ou seulement réutilisé ces détails.
La documentation officielle du projet indique que les Mint Passes n'expirent pas et peuvent être utilisées à tout moment pour créer de nouvelles œuvres QQL.
Les détenteurs de pass existants peuvent donc continuer à frapper des NFT officiels via le système établi du projet. L'avertissement de Quit concernait la prétendue réouverture d'un mint public, et non le processus normal disponible pour les détenteurs de pass existants.
Le site officiel de QQL continue d'afficher les œuvres créées via le projet, tandis que sa documentation oriente les collectionneurs vers des ressources vérifiées pour frapper et obtenir des pass.
La documentation de QQL avertit que des collections contrefaites de Mint Pass existent et invite les acheteurs à vérifier les liens officiels avant d'acheter.
Un avertissement d'usurpation d'identité de Tyler Hobbs fait suite à un drainage de portefeuille signalé
L'avertissement de Quit du 20 octobre identifiait l'usurpation de compte comme la méthode utilisée pour promouvoir la prétendue offre QQL.
Le chercheur a déclaré que l'escroc avait créé plusieurs comptes prétendant représenter Hobbs, bien que la publication n'ait pas identifié les comptes ni fourni de captures d'écran des messages frauduleux.
Une personne aurait perdu des fonds, tandis qu'une autre a évité un drainage de portefeuille après avoir reçu une protection de Pocket Universe, selon Quit.
L'avertissement n'expliquait pas quelle transaction a déclenché la protection signalée, ni si l'utilisateur concerné avait visité un site contrefait, approuvé un contrat malveillant ou signé un autre type d'autorisation.
Au moment de la publication, la manière dont l'attaque s'est déroulée reste floue.
Le Federal Bureau of Investigation a précédemment averti que des criminels usurpent l'identité de développeurs de NFT pour promouvoir des sorties frauduleuses et voler des cryptomonnaies aux collectionneurs.
Dans un avis d'août 2023, l'agence a indiqué que les attaquants créent parfois des comptes de réseaux sociaux qui ressemblent étroitement à des profils de projets légitimes ou compromettent des comptes existants appartenant à des développeurs de NFT.
Selon le rapport, les promotions frauduleuses peuvent utiliser des tactiques trompeuses conçues pour créer un sentiment d'urgence et inciter les utilisateurs à agir rapidement.
Selon le bureau, ces publications peuvent diriger les victimes vers des sites contrefaits qui ressemblent aux pages officielles de projets NFT.
Après avoir connecté leurs portefeuilles, les victimes peuvent être invitées à autoriser des transactions qui donnent à des contrats intelligents malveillants l'accès à leurs cryptomonnaies ou à leurs NFT.
L'agence a averti que les attaquants peuvent utiliser ces autorisations pour transférer des actifs depuis les portefeuilles des victimes sans que celles-ci comprennent le but réel de la transaction.
Des vecteurs d'attaque similaires sont apparus dans un certain nombre d'incidents de sécurité récents liés aux cryptomonnaies.
Le 5 octobre, des chercheurs de Salus ont identifié des approbations USDG malveillantes liées à Revenue, où des attaquants auraient obtenu des autorisations de dépense avant de transférer des fonds depuis les portefeuilles concernés.
La société de sécurité a déclaré que l'approbation et le transfert se sont produits au sein de la même transaction, permettant aux attaquants de déplacer des fonds immédiatement après avoir obtenu l'autorisation.
Salus a observé que les fonds volés étaient répartis entre deux adresses selon un schéma ressemblant à un modèle établi de service de drainage de portefeuille, bien qu'elle n'ait pas confirmé que la même infrastructure était impliquée.
Les drainers de portefeuille peuvent exploiter les autorisations accordées via des transactions blockchain ordinaires, y compris les approbations de jetons et les messages signés.
Une analyse des drainers de portefeuille de juillet 2026 expliquait comment des sites malveillants peuvent déguiser des autorisations de dépense dangereuses en frappe de NFT de routine, en réclamations de jetons ou en demandes de vérification de compte.
Pour aggraver les choses, certaines approbations restent actives jusqu'à ce que le propriétaire du portefeuille les révoque, ce qui peut permettre à un contrat autorisé de transférer des actifs après l'interaction initiale.
Comment les utilisateurs peuvent-ils vérifier les Mint Pass QQL légitimes ?
La documentation de QQL fournit une adresse de contrat pour les collectionneurs qui souhaitent vérifier les Mint Pass légitimes sur Ethereum.
Le guide officiel du Mint Pass identifie le contrat comme 0xc73B17179Bf0C59cD5860Bb25247D1D1092c1088.
Les utilisateurs peuvent vérifier la légitimité d'un QQL Mint Pass en comparant son adresse de contrat avec l'inscription de la collection sur Etherscan.
Selon la documentation du projet, les acheteurs peuvent obtenir des passes via les marchés secondaires, mais ils doivent vérifier le contrat de la collection avant d'acheter.
La documentation distingue l'achat d'un Mint Pass de son utilisation pour créer un NFT QQL officiel.
Un collectionneur doit détenir un pass valide avant de minter une œuvre, et le pass est détruit lorsque le mint est terminé.
Tout en expliquant QQL dans un précédent article de blog, Hobbs a confirmé que le projet permet aux détenteurs de choisir quelles œuvres générées deviennent des NFT permanents dans la collection.
Il a déclaré que le processus de mint a été conçu pour se poursuivre sur une période prolongée, les collectionneurs pouvant utiliser leurs passes chaque fois qu'ils sélectionnent une œuvre à inclure.
