最新のOpenSea攻撃では、ハッカーが不和に潜入している

OpenSea Discord サーバーは金曜日の早朝にハッキングされました。 侵害された OpenSea Discord サーバー ボットからの一連の投稿は、ユーザーにフィッシング リンクから「YouTube Genesis Mint Pass」を作成するよう指示しました。 

OpenSea Discordサーバーがハッキングされる

最大のNFTマーケットプレイスのDiscordがハッキングされました。

A ツイート 公式 OpenSea サポート Twitter より金曜日の朝、マーケットプレイスの Discord サーバーに脆弱性があることを確認しました。

UTC午前4時04分に発表チャンネルに現れたハッカーの最初の投稿は、OpenSeaが「コミュニティをNFTスペースに持ち込むためにYouTubeと提携した」と述べた。 投稿ではさらに、この提携には、保有者が共同プロジェクトを無料で作成できる「YouTube Genesis Mint Pass」100枚のリリースが含まれると述べた。 この投稿は、ユーザーを騙してトランザクションに署名させ、ハッカーがウォレットから NFT を転送できるようにすることを目的とした偽のミント Web サイトへのリンクで終わりました。

OpenSea の従業員が制御を取り戻すまで、ハッカーはしばらくサーバー上で存在を維持できたようです。 ハッカーは、最初の偽の発表に対するフォローアップを投稿することに成功し、偽のリンクを再投稿し、何も疑っていないユーザーに「逃すのではないかという恐怖」を誘発するために、供給量の 70% がすでに鋳造されたと述べました。 

からのオンチェーンデータ Etherscan ハッキングによる損失が現時点では少額であることを示しています。 これまでに影響を受けたとみられるウォレットは合計でXNUMXつだけで、最も価値のあるNFTが盗まれたのは、 時価 約0.84 ETHまたは2,300ドル。 

初期の報告では、ハッカーが OpenSea Discord サーバーの Webhook を悪用してサーバー制御にアクセスしたことが示唆されています。 Webhook は、他のアプリケーションにリアルタイム データを提供するサーバー プラグインです。 Webhook は便利な機能を提供しますが、公式サーバー アカウントからユーザーにメッセージを送信できるため、ハッカーによる攻撃ベクトルとして使用されることが増えています。 

最近 Webhook 攻撃の被害を受けたのは OpenSea Discord サーバーだけではありません。 XNUMX月初め、Bored Ape Yacht Club、Doodles、KaijuKingsなど、いくつかの著名なNFTコレクションのDiscordが 損害を受けた 同様のエクスプロイトを使用すると、ハッカーが公式サーバー アカウントを使用してフィッシング リンクを投稿できるようになります。 

この記事は最新情報であり、さらなる情報が入手可能になり次第更新されます。 

ハッカーのウォレットを特定してくれた HttpPwnHub に感謝します。 

開示：この記事を書いている時点で、著者はETHと他のいくつかの暗号通貨を所有していました。