OpenSea, рынак незаменных токенаў, стаў ахвярай узлому на сваім галоўным канале Discord. Узлом дазволіў суб'ектам пагрозы размяшчаць фальшывыя паведамленні аб партнёрстве паміж OpenSea і іншымі праектамі.
Канал Discord ад OpenSea узламаны
OpenSea падзяліўся a скрыншот 6 мая паказваючы фэйкавыя навіны пра партнёрства. Скрыншот таксама ўтрымліваў спасылку на фішынг-сайт. У афіцыйным акаўнце падтрымкі OpenSea у Twitter было апублікавана, што сервер Discord для рынку NFT быў узламаны ў пятніцу раніцай. Кампанія нават вынесла папярэджанне карыстальнікам, заклікаючы іх не пераходзіць па спасылках, размешчаных на канале.
Першая публікацыя, зробленая хакерам, уключала канал аб'яў, у якім сцвярджалася, што маркетплейс NFT «уступіў у партнёрства з YouTube, каб прыцягнуць іх супольнасць да прасторы NFT». Кампанія таксама заявіла, што апублікуе пропуск на манетны двор з OpenSea, каб дазволіць уладальнікам чаканіць іх праект NFT бясплатна.
Хакер заставаўся на серверы доўгі час, перш чым OpenSea змог аднавіць уліковы запіс. Тым не менш, хакер ужо некалькі разоў спрабаваў прымусіць карыстальнікаў адрэагаваць на аб'яву, выклікаючы страх прапусціць. Хакер апублікаваў наступныя паведамленні, у якіх сцвярджалася, што 70% паставак было адчаканена.
Хакер таксама спрабаваў заахвоціць карыстальнікаў на OpenSea, сказаўшы, што YouTube прапануе «вар'яцкія ўтыліты». Гэтыя камунальныя паслугі будуць прадастаўлены тым, хто запатрабаваў NFT. Яны таксама сцвярджалі, што прапанова будзе ўнікальнай і што для ўдзелу не спатрэбяцца дадатковыя раўнды.
Метрыкі ў ланцужку паказваюць, што на дадзены момант узламаныя 13 кашалькоў, і самым каштоўным NFT, які быў скрадзены, быў Founders' Pass коштам 3.33 эфіру, што эквівалентна каля 8900 долараў.
Вэбхукі прыпісваюць узлому сервера
У першых паведамленнях гаварылася, што зламыснік выкарыстаў Webhooks для доступу да элементаў кіравання серверам. Webhooks - гэта серверныя плагіны, якія дазваляюць іншаму праграмнаму забеспячэнню атрымліваць інфармацыю ў рэжыме рэальнага часу. Вэбхукі ўсё больш выкарыстоўваюцца ў якасці вектара атакі для хакераў, таму што яны палягчаюць абмен паведамленнямі з афіцыйнымі ўліковымі запісамі сервера.
Вэб-хукі выкарыстоўваліся не толькі для атакі на сервер Discord OpenSea, але і для атакі на папулярныя калекцыі NFT. Bored Ape Yacht Club, KaijuKings і Doodles былі ўзламаныя ў пачатку мінулага месяца пасля выкарыстання аналагічнай уразлівасці, якая дазволіла хакерам выкарыстоўваць афіцыйныя ўліковыя запісы сервера для публікацыі фішынгавых спасылак.
Ваш капітал знаходзіцца ў небяспецы.
Чытайце таксама:
Крыніца: https://insidebitcoins.com/news/opensea-discord-server-hacked-increasing-the-risk-of-phishing-scams