Վերջին OpenSea Attack-ը տեսնում է հաքերների ներթափանցման տարաձայնությունները

OpenSea Discord սերվերը կոտրվել է ուրբաթ վաղ առավոտյան: Վտանգված OpenSea Discord սերվերի բոտից մի շարք գրառումներ ուղղորդեցին օգտվողներին «YouTube Genesis Mint Pass» ֆիշինգի հղումից կտրել: 

Կոտրվել է OpenSea Discord սերվերը

NFT խոշորագույն շուկայի Discord-ը կոտրվել է:

A ծլվլոց Պաշտոնական OpenSea Support Twitter-ից հաստատել է, որ ուրբաթ առավոտյան շուկայի Discord սերվերում խոցելիություն է եղել:

Հաքերի առաջին գրառումը, որը հայտնվեց հայտարարությունների ալիքում ժամը 4:04 UTC-ին, ասվում էր, որ OpenSea-ն «գործակցել է YouTube-ի հետ՝ իրենց համայնքը NFT տարածություն բերելու համար»: Գրառման մեջ ասվում է, որ համագործակցությունը կներառի 100 «YouTube Genesis Mint Passes»-ի թողարկում, որը թույլ կտա սեփականատերերին անվճար համագործակցել նախագծեր: Գրառումն ավարտվում էր կեղծ մոնտաժային կայքի հղումով, որը նախատեսված էր օգտատերերին խաբելու համար գործարք կնքելու համար, որը հաքերին հնարավորություն կտար NFT-ներ փոխանցել իրենց դրամապանակից:

Ըստ երևույթին, հաքերը կարողացել է որոշ ժամանակ պահպանել իրենց ներկայությունը սերվերում, մինչև OpenSea-ի աշխատակիցները կարողացել են վերականգնել վերահսկողությունը: Հաքերին հաջողվել է հրապարակել նախնական կեղծ հայտարարության հետքերը՝ նորից հրապարակելով կեղծ հղումը և նշելով, որ մատակարարման 70%-ն արդեն արտադրվել է՝ փորձելով «կորցնելու վախ» առաջացնել անկասկած օգտատերերի մոտ: 

Շղթայական տվյալներ Etherscan ցույց է տալիս, որ հաքերից կորուստները ներկայումս փոքր են։ Ընդհանուր առմամբ, միայն վեց դրամապանակ է տուժել մինչ այժմ, ընդ որում ամենաթանկ գողացված NFT-ը ConiunPass-ն է՝ շուկայական արժեքը մոտ 0.84 ETH կամ $2,300: 

Նախնական տեղեկություններն ասում են, որ հաքերը շահագործել է OpenSea Discord սերվերի վեբ-կեռիկները՝ սերվերի կառավարումներից օգտվելու համար: Webhook-ը սերվերի պլագին է, որն ապահովում է այլ հավելվածների իրական ժամանակի տվյալներ: Թեև վեբ-կեռիկները կատարում են օգտակար գործառույթ, դրանք ավելի ու ավելի են օգտագործվում որպես հարձակման վեկտոր հաքերների կողմից, քանի որ թույլ են տալիս հաղորդագրություններ ուղարկել օգտատերերին պաշտոնական սերվերի հաշիվներից: 

OpenSea Discord սերվերը միակը չէ, որը վերջերս դարձել է webhooks հարձակման զոհ: Ապրիլի սկզբին մի քանի նշանավոր NFT հավաքածուների Discords-ը, ներառյալ Bored Ape Yacht Club-ը, Doodles-ը և KaijuKings-ը, հայտնվեցին: գաղտնալսված օգտագործելով նմանատիպ շահագործում, որը թույլ է տալիս հաքերին տեղադրել ֆիշինգի հղումներ՝ օգտագործելով պաշտոնական սերվերի հաշիվները: 

Այս պատմությունը ընդհատվում է և կթարմացվի, քանի որ ավելի շատ տեղեկություններ կան: 

Հատուկ շնորհակալություն HttpPwnHub-ին հաքերի դրամապանակը նույնականացնելու համար: 

Բացահայտում. Այս հոդվածը գրելու պահին հեղինակին պատկանում էր ETH և մի քանի այլ կրիպտոարժույթներ: