Nejnovější útok na OpenSea zaznamenal nesoulad mezi hackerem

Server OpenSea Discord byl hacknut v pátek brzy ráno. Série příspěvků od napadeného robota serveru OpenSea Discord nasměrovala uživatele k vyražení „YouTube Genesis Mint Pass“ z phishingového odkazu. 

Hacknutý server OpenSea Discord

Discord největšího tržiště NFT byl napaden.

A tweet z oficiální podpory OpenSea Twitter potvrdil, že v pátek ráno byla na trhu Discord server zranitelná chyba.

První příspěvek hackera, který se objevil v oznamovacím kanálu ve 4:04 UTC, uvedl, že OpenSea „navázala partnerství s YouTube, aby přivedla jejich komunitu do prostoru NFT“. Příspěvek dále uvedl, že partnerství bude zahrnovat vydání 100 „YouTube Genesis Mint Passes“, které umožní držitelům razit projekty spolupráce zdarma. Příspěvek skončil odkazem na falešnou ražební webovou stránku navrženou tak, aby přiměla uživatele k podpisu transakce, která by hackerovi poskytla možnost převést NFT z jejich peněženky.

Zdá se, že hacker byl schopen udržet jejich přítomnost na serveru nějakou dobu, než byli zaměstnanci OpenSea schopni znovu získat kontrolu. Hackerovi se podařilo odeslat reakce na původní falešné oznámení, znovu odeslat falešný odkaz a uvést, že 70 % nabídky již bylo vyraženo ve snaze vyvolat u nic netušících uživatelů „strach ze ztráty“. 

Data v řetězci od Etherscan ukazuje, že ztráty z hacku jsou v současnosti malé. Celkově se zdá, že dosud bylo zasaženo pouze šest peněženek, přičemž nejcennější odcizenou NFT je ConiunPass s Tržní hodnota přibližně 0.84 ETH nebo 2,300 XNUMX $. 

První zprávy naznačují, že hacker zneužil webhooky serveru OpenSea Discord k získání přístupu k ovládacím prvkům serveru. Webhook je serverový plugin, který poskytuje jiným aplikacím data v reálném čase. Přestože webhooky slouží jako užitečná funkce, hackeři je stále častěji využívají jako vektor útoku, protože umožňují odesílat zprávy uživatelům z oficiálních serverových účtů. 

Server OpenSea Discord není jediný, který se nedávno stal obětí útoku webhooků. Na začátku dubna byly Discords několika prominentních sbírek NFT, včetně Bored Ape Yacht Club, Doodles a KaijuKings, kompromisy pomocí podobného exploitu, který umožňuje hackerovi zveřejňovat phishingové odkazy pomocí oficiálních serverových účtů. 

Tento příběh je aktuální a bude aktualizován, jakmile budou k dispozici další informace. 

Zvláštní poděkování patří HttpPwnHub za identifikaci peněženky hackera. 

Zveřejnění: V době psaní tohoto článku autor vlastnil ETH a několik dalších kryptoměn.