Lottie Player Opfer eines Supply-Chain-Angriffs, 10 gewrappte BTC aus Avalanche-Wallet gestohlen

Lottie Player wurde Opfer eines Supply-Chain-Angriffs, der eine Wallet mit 10 Bitcoin (BTC) betraf. Das WordPress-Tool wurde missbraucht, um Web3-Nutzern bösartige Links zu senden, was effektiv zu geleerten Wallets führte. 

Lottie Player, die WordPress-Animationsbibliothek, wurde als Angriffsvektor für Web3-Nutzer verwendet. Durch bösartige Links wurde mindestens eine Wallet mit 10 Bitcoin (BTC) geleert. 

Der Lottie-Player-Angriff hat weit verbreitete Projekte wie 1inch und Mover betroffen. Der 1inch-Angriff könnte besonders schädlich sein, da der DEX-Handelsdienst zu den am weitesten verbreiteten auf Ethereum gehört. 

Blockaid hat ebenfalls gemeldet, dass es bösartige Wallet-Verbindungen über seine Website verbreitet hat. Bubble war eine weitere Front-End-Website, die von den bösartigen Pop-ups betroffen war und zu den ersten gehörte, die gemeldet wurden. Bubble ist auch die Quelle für den Bau von Drittanbieter-Apps, die in den Stunden, in denen die alten Versionen aktiv waren, betroffen gewesen sein könnten. 

Forscher von Blockaid haben identifizierte Ace Drainer als wahrscheinlichste Quelle des Angriffs identifiziert. Die bösartige Version von Lottie Player wurde entfernt, aber nicht, bevor sie gefälschte Links zum Signieren mit weit verbreiteten Web3-Wallets verbreitete. Der Angriff war mindestens 12 Stunden aktiv und erhöhte die Guthaben in mehreren identifizierten Angriffswallets.

Der Angriff wurde erstmals bemerkt, als eine Wallet mit 10 BTC geleert wurde, was zur Quelle der gefälschten Links führte. Das Risiko bestand darin, alle Anfragen schnell zu signieren, einschließlich des permanenten Zugriffs auf Wallets. Dies ermöglichte es den Angreifern, sogar Avalanche C-Chain-Adressen zu leeren und eine Form von gewrapptem BTCzu stehlen. Der Angriff selbst forderte keine selbstverwahrte Bitcoin-Wallet, sondern nutzte die Notwendigkeit der Web3-Konnektivität.

⚠️ Vor 3 Stunden verlor ein Opfer 10 BTC (723.436 $), weil er eine Phishing-Transaktion signierte.

Dieser Diebstahl steht wahrscheinlich im Zusammenhang mit dem Supply-Chain-Angriff auf Lottie Player, der heute früher stattfand. https://t.co/Puq5zUnKO9 pic.twitter.com/STYgRGgyK9

— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) 31. Oktober 2024

Nutzer bemerkten auch, dass der Lottie Player eine Web3-Route mit einer bösartigen Transaktion füllte, wenn er auf Websites auf die übliche Weise verwendet wurde. Analysten stellten fest, dass der Angriff Ethereum und EVM-kompatible Chains zielte. 

Die Adressen der Angreifer zeigen weiterhin Aktivität und betreffen kleine Bestände verschiedener Web3-Token. Derzeit ist die gesamte Größe des Angriffs noch nicht erfasst worden und könnte andere Token betroffen haben. Die Angreifer Informationen tauschen die Token schnell über Uniswap oder sogar über den MetaMask-Swap.

Lottie-Player-Angriff breitet sich auf mehrere Websites aus

Der Lottie-Player-Angriff zeigte einen für Web3-Nutzer sehr vertrauten Bildschirm, der sie aufforderte, einige der Top-Wallets zu verbinden, darunter MetaMask, WalletConnect und andere.

Sogar die TryHackMe Plattform erlebte das Popup, wechselte jedoch zu einer älteren Version. Das Problem wurde von anderen Nutzern beliebter Websites gemeldet. 

Der Angriff betraf zwei Versionen von Lottie Player, die erstmals Ende des 30. Oktober bemerkt wurden. Die Angriffe gingen von Versionen 2.0.5 oder höher aus. Website-Besitzer mussten den Angriff in den ersten Stunden selbst bereinigen, indem sie auf andere Tools oder ältere Versionen von Lottie Player zurückgriffen. Einige haben die Skripte vorsorglich gelöscht. 

Wallet-Besitzer müssen möglicherweise weiterhin Berechtigungen widerrufen, wenn sie eine der injizierten Links verbunden haben. Websites wie 1inch ziehen mehr als 590.000 monatliche Nutzer an und könnten mehrere unentdeckte Wallets betroffen haben.

Lottie-Player-Team veröffentlicht sichere Version

Das Lottie-Player-Team reagierte, indem es eine legitime neue Version 2.0.8 hochlud, während die kontaminierten Skripte zurückgezogen wurden. Das Team gab an, dass es sich bei den fehlerhaften Versionen insgesamt um drei handelte, die direkt auf NPM veröffentlicht wurden, wobei ein kompromittiertes Zugriffstoken eines Entwicklers mit den erforderlichen Veröffentlichungsrechten verwendet wurde. Das Team weist darauf hin, dass keine anderen Repositories oder Bibliotheken betroffen sind. 

Lottie Player wird häufig für Animationen und kleinere Funktionen auf Websites verwendet, ist jedoch zur Liste der Verteiler für bösartige Links hinzugefügt worden. Derartige Angriffe zielen auf einzelne Wallets ab, was das Risiko von vergiftete Adressen, direkter Zielung per E-Mail und Nachrichten sowie gefälschter Website-Versionen erhöht. 

Der Angriff erfolgt in der nächsten Phase eines Krypto-Bullmarktes, was die Versuche beschleunigt, wertvollere Token zu stehlen. Das Verbinden einer Wallet sollte am besten für einen bestimmten Zweck erfolgen, wobei vollständige Berechtigungen zum Signieren von Transaktionen vermieden werden sollten. Das sofortige Starten einer Wallet-Verbindung nach dem Betreten einer Website kann ein Warnsignal sein.