arrasou na explicação técnica TryNinja
Joker, para fazermos uma lista de todos os sites de phishing vamos precisar ficar o dia todo focando só nisso hahaha são muitos e eles costumam ser descartáveis, não ficam no ar por muito tempo
a chave é entender os princípios.
A primeira coisa que eu pensei foi: Por que alguem iria pagar uma transação de uns 5 a 20 usd, para fazer uma parada chamada "set approval for all" sem receber nada em troca? Só um phising muito esperto
1. A maioria das pessoas só sai aprovando o que aparece em sites "confiáveis", pois pensa ser algo (inocente e) necessário para continuar lá, fazendo mints/trades.
2. A maioria das wallets não deixa evidente qual função você está chamando. Por isso uso a Rabby, que mostra esse detalhe.
somando: é bem comum ter que fazer set approval for all para vender um NFT
todo marketplace vai pedir isso @bitmover
afinal, se alguém comprar o NFT ele precisa ser transferido para a carteira do comprador e essa aprovação tem que ser na hora e automática então nada melhor que um smart contract para executá-la
a maioria desses ataques vai seguir alguma dessas linhas:
- fake de um site famoso, você acha que está no marketplace oficial mas seta o approval para um hacker mal intencionado que criou uma cópia do marketplace
- mints que te induzem ao FOMO, agir rápido sem pensar para participar de um lançamento, você acha que está assinando uma transação com a função mint mas na verdade está assinando um setapprovalforall
- sites que te induzem a assinar um SetApprovalForAll on-chain quando você só precisaria assinar uma transação off-chain para logar (não precisaria pagar gas), esse foi o caso do premint.
- golpes mais elaborados de engenharia social e spear phishing, desde um time fake de suporte te enganando por chamada do discord até alguém que escreveu uma transação customizada para você, camuflou um virus pelo google docs, vc clicou no email e esse virus substituiu seu metamask por um metamask fake.
sobre o ponto 2 Tryninja
o próprio metamask que é a carteira mais usada hoje em dia avisa o que a pessoa está assinando, mas pra usuários leigos parece que uma função "mint', uma função "SetApprovalForAll" e até um transação off-chain (só um sign) são a mesma coisa, já vi algumas sugestões de mudarem a UI para incluir um aviso de que essa transação é potencialmente perigosa.
talvez ajudaria um pouco.