Najnoviji napad na OpenSea vidio je da se haker infiltrirao u nesklad

OpenSea Discord server hakiran je u petak rano ujutro. Niz postova kompromitiranog OpenSea Discord serverskog bota usmjeravao je korisnike na izradu "YouTube Genesis Mint Pass" s veze za krađu identiteta. 

OpenSea Discord Server hakiran

Discord najvećeg NFT tržišta je hakiran.

A c iz službene OpenSea podrške Twitter potvrdio je da postoji ranjivost na Discord poslužitelju tržišta u petak ujutro.

Hakerov prvi post, koji se pojavio na kanalu s najavama u 4:04 ujutro UTC, navodi da se OpenSea "udružio s YouTubeom kako bi svoju zajednicu doveo u NFT prostor." U postu se dalje navodi da će partnerstvo uključivati ​​izdavanje 100 "YouTube Genesis Mint Passes" koji će vlasnicima omogućiti besplatno stvaranje zajedničkih projekata. Objava je završila vezom na lažnu web stranicu za kovanje koja je osmišljena da prevari korisnike da potpišu transakciju koja bi hakeru dala mogućnost prijenosa NFT-a iz svog novčanika.

Čini se da je haker uspio zadržati svoju prisutnost na poslužitelju neko vrijeme prije nego što su zaposlenici OpenSea uspjeli ponovno preuzeti kontrolu. Haker je uspio objaviti nastavak početne lažne objave, ponovno objaviti lažnu vezu i navodeći da je 70% ponude već iskovano u pokušaju da izazove "strah od propuštanja" kod nesuđenih korisnika. 

Podaci na lancu od Etherscan pokazuje da su gubici od hakiranja trenutno mali. Čini se da je do sada ukupno pogođeno samo šest novčanika, a najvrjednija ukradena NFT kartica je ConiunPass s Tržišna vrijednost od oko 0.84 ETH ili 2,300 USD. 

Rani izvještaji sugeriraju da je haker iskoristio web-hookove poslužitelja OpenSea Discord kako bi dobio pristup kontrolama poslužitelja. Webhook je poslužiteljski dodatak koji drugim aplikacijama pruža podatke u stvarnom vremenu. Iako webhookovi služe korisnoj funkciji, hakeri ih sve više koriste kao vektor napada jer omogućuju slanje poruka korisnicima sa službenih računa poslužitelja. 

OpenSea Discord poslužitelj nije jedini koji je nedavno postao žrtva webhooks napada. Početkom travnja, Discords nekoliko istaknutih NFT kolekcija, uključujući Bored Ape Yacht Club, Doodles i KaijuKings, objavljene su ugrožena korištenjem sličnog exploit-a, dopuštajući hakeru da objavljuje phishing veze koristeći službene račune poslužitelja. 

Ova priča je prelomna i bit će ažurirana kako bude više informacija. 

Posebno zahvaljujemo HttpPwnHubu za identifikaciju hakerskog novčanika. 

Otkrivanje: U vrijeme pisanja ovog djela, autor je posjedovao ETH i nekoliko drugih kriptovaluta.