Serangan OpenSea Terkini Melihat Penggodam Menyusup Perselisihan

Pelayan OpenSea Discord telah digodam awal pagi Jumaat. Satu siri siaran daripada bot pelayan OpenSea Discord yang terjejas mengarahkan pengguna untuk mencetak “YouTube Genesis Mint Pass” daripada pautan pancingan data. 

Pelayan Discord OpenSea Digodam

Perselisihan pasaran NFT terbesar telah digodam.

A tweet daripada Twitter Sokongan OpenSea rasmi mengesahkan bahawa terdapat kelemahan dalam pelayan Discord pasaran pagi Jumaat.

Catatan pertama penggodam itu, yang muncul dalam saluran pengumuman pada 4:04 pagi UTC, menyatakan bahawa OpenSea telah "bekerjasama dengan YouTube untuk membawa komuniti mereka ke dalam ruang NFT." Siaran itu seterusnya mengatakan bahawa perkongsian itu akan termasuk pengeluaran 100 "YouTube Genesis Mint Passes" yang akan membolehkan pemegang membuat projek kerjasama secara percuma. Siaran itu berakhir dengan pautan ke laman web pencetak palsu yang direka untuk menipu pengguna supaya menandatangani transaksi yang akan memberi penggodam keupayaan untuk memindahkan NFT daripada dompet mereka.

Nampaknya penggodam dapat mengekalkan kehadiran mereka pada pelayan untuk beberapa lama sebelum pekerja OpenSea dapat mengawal semula. Penggodam itu berjaya menyiarkan susulan kepada pengumuman palsu awal, menyiarkan semula pautan palsu dan menyatakan bahawa 70% daripada bekalan telah dibuat dalam usaha untuk mendorong "ketakutan terlepas" dalam pengguna yang tidak curiga. 

Data dalam rantaian daripada Etherscan menunjukkan bahawa kerugian daripada hack pada masa ini adalah kecil. Secara keseluruhan, hanya enam dompet nampaknya telah terjejas setakat ini, dengan NFT paling berharga yang dicuri ialah ConiunPass dengan nilai pasaran sekitar 0.84 ETH atau $2,300. 

Laporan awal mencadangkan bahawa penggodam mengeksploitasi webhook pelayan OpenSea Discord untuk mendapatkan akses kepada kawalan pelayan. Webhook ialah pemalam pelayan yang menyediakan aplikasi lain dengan data masa nyata. Walaupun webhook berfungsi sebagai fungsi yang berguna, ia semakin digunakan sebagai vektor serangan oleh penggodam kerana ia membenarkan mesej dihantar kepada pengguna daripada akaun pelayan rasmi. 

Pelayan OpenSea Discord bukan satu-satunya yang menjadi mangsa serangan webhooks baru-baru ini. Pada permulaan April, Discords beberapa koleksi NFT yang terkenal, termasuk Kelab Yacht Ape Bosan, Doodles dan KaijuKings, telah dikompromikan menggunakan eksploitasi serupa, membenarkan penggodam menyiarkan pautan pancingan data menggunakan akaun pelayan rasmi. 

Cerita ini sedang pecah dan akan dikemas kini apabila lebih banyak maklumat tersedia. 

Terima kasih khas kepada HttpPwnHub kerana mengenal pasti dompet penggodam. 

Pendedahan: Pada masa menulis artikel ini, penulis memiliki ETH dan beberapa mata wang kripto lain.