Lottie Player sufre un ataque a la cadena de suministro, robando 10 BTC envueltos de una billetera Avalanche
- Versiones maliciosas de Lottie Player afectaron a varios proyectos Web3 y sitios web, incluyendo 1inch, Bubble y Blockaid.
- El reproductor de animaciones lanzó una ventana emergente para conectar billeteras, drenando todos los activos tras firmar un permiso.
- El equipo de Lottie Player eliminó las versiones antiguas y subió nuevas versiones seguras.
Lottie Player sufrió un ataque a la cadena de suministro, afectando a una billetera con 10 Bitcoin (BTC). La herramienta de Wordpress ha sido abusada para enviar enlaces maliciosos a usuarios de Web3, drenando efectivamente las billeteras.
Lottie Player, la biblioteca de animación de Wordpress, ha sido utilizada como vector de ataque para usuarios de Web3. A través de enlaces maliciosos, al menos una billetera ha sido drenada de 10 Bitcoin (BTC).
El ataque a Lottie Player ha afectado a proyectos muy utilizados como 1inch y Mover. El ataque a 1inch puede ser especialmente dañino, ya que el servicio de intercambio descentralizado (DEX) está entre los más utilizados en Ethereum.
Blockaid también ha informado que ha estado propagando conexiones de billeteras maliciosas a través de su sitio web. Bubble fue otro sitio web frontal afectado por las ventanas emergentes maliciosas, y se convirtió en uno de los primeros en ser reportado. Bubble también es la fuente para construir aplicaciones de terceros, que podrían haberse visto afectadas en las horas en que las versiones antiguas estaban activas.
Los investigadores de Blockaid han identificada identificado a Ace Drainer como la fuente más probable del ataque. La versión maliciosa de Lottie Player ha sido eliminada, pero no antes de propagar enlaces falsos para firmar con billeteras Web3 muy utilizadas. El ataque ha estado activo durante al menos 12 horas, aumentando los saldos en varias billeteras de ataque identificadas.
El ataque se notó por primera vez cuando una billetera fue vaciada de 10 BTC, lo que llevó a descubrir la fuente de los enlaces falsos. El riesgo radicaba en firmar rápidamente todas las solicitudes, incluido el acceso permanente a las billeteras. Esto permitió a los atacantes incluso vaciar direcciones de la cadena Avalanche C-Chain, robando una forma de BTC envuelto. El ataque en sí no solicitaba una billetera Bitcoin de autocustodia, sino que dependía de la necesidad de conectividad Web3.
⚠️ Hace 3 horas, una víctima perdió 10 BTC ($723,436) debido a la firma de una transacción de phishing.
Este robo está probablemente relacionado con el ataque a la cadena de suministro de Lottie Player ocurrido hoy. https://t.co/Puq5zUnKO9 pic.twitter.com/STYgRGgyK9
— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) 31 de octubre de 2024
Los usuarios también notaron que Lottie Player rellenaba una ruta Web3 con una transacción maliciosa cuando se usaba para sitios web de la manera habitual. Los analistas señalaron que el ataque se dirigió a Ethereum y cadenas compatibles con EVM.
Las direcciones de los atacantes continúan mostrando actividad, afectando pequeñas tenencias de varios tokens Web3. Por ahora, no se ha contabilizado el tamaño total del ataque, y puede haber afectado a otros tokens. Los atacantes están intercambiar moviendo los tokens rápidamente a través de Uniswap, o incluso a través del intercambio de MetaMask.
El ataque de Lottie Player se extendió a múltiples sitios
El ataque de Lottie Player mostró una pantalla muy familiar para los usuarios de Web3, instándolos a conectar algunas de las principales billeteras, incluidas MetaMask, WalletConnect y otras.
Incluso la TryHackMe la plataforma experimentó la ventana emergente, pero pasó a una versión anterior. El problema ha sido reportado por otros usuarios de sitios web populares.
El ataque afectó a dos versiones de Lottie Player, notado por primera vez a finales del 30 de octubre. Los ataques se originaron en las versiones 2.0.5 o superiores. Los propietarios de sitios web tuvieron que limpiar el ataque ellos mismos en las horas iniciales, revirtiendo a otras herramientas o versiones anteriores de Lottie Player. Algunos han elegido eliminar los scripts como medida de precaución.
Los propietarios de billeteras aún pueden tener que revocar permisos, si se han conectado a alguno de los enlaces inyectados. Sitios como 1inch atraen a más de 590K usuarios mensuales, y pueden haber afectado a múltiples billeteras no detectadas.
El equipo de Lottie Player publica una versión segura
El equipo de Lottie Player reaccionó subiendo una nueva versión legítima 2.0.8, mientras retiraba los scripts contaminados. El equipo señaló que las versiones defectuosas eran tres en total, publicadas directamente en NPM utilizando un token de acceso comprometido de un desarrollador con los privilegios de publicación requeridos. El equipo señala que no se han visto afectados otros repositorios o bibliotecas.
Lottie Player es ampliamente utilizado para animaciones y funciones menores en sitios web, pero ha sido añadido a la lista de distribuidores de enlaces maliciosos. Este tipo de ataques se dirigen a billeteras individuales, aumentando el riesgo de direcciones envenenadas, el ataque directo por correo electrónico y mensajes, y versiones falsas de sitios web.
El ataque ocurre durante la siguiente etapa de un mercado alcista de criptomonedas, acelerando los intentos de robar tokens más valiosos. Conectar una billetera es mejor hacerlo para un propósito específico, evitando permisos permanentes para firmar transacciones. Iniciar una conexión de billetera inmediatamente después de entrar en un sitio web puede ser una señal de alarma.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Hristina Vasileva
Hristina Vasileva se especializa en noticias sobre DeFi, negocios y economía. Se graduó de la Universidad de Sofía con una maestría en Filosofía, después de completar una licenciatura de 4 años en Administración de Empresas, Periodismo y Comunicación Masiva. Ha trabajado para uno de los principales periódicos del país, cubriendo materias primas y resultados corporativos. Actualmente, Hristina es autora de noticias colaboradora en Cryptopolitan.
