Lottie Player victime d'une attaque de la chaîne d'approvisionnement, 10 BTC enveloppés volés depuis un portefeuille Avalanche
- Des versions malveillantes de Lottie Player ont affecté plusieurs projets Web3 et sites grand public, notamment 1inch, Bubble et Blockaid.
- Le lecteur d'animation a lancé une fenêtre contextuelle pour connecter les portefeuilles, vidant tous les actifs après la signature d'une autorisation.
- L'équipe de Lottie Player a retiré les anciennes versions et téléchargé de nouvelles versions sécurisées.
Lottie Player a été touché par une attaque de la chaîne d'approvisionnement, affectant un portefeuille contenant 10 Bitcoin (BTC). L'outil WordPress a été détourné pour envoyer des liens malveillants aux utilisateurs Web3, vidant efficacement les portefeuilles.
Lottie Player, la bibliothèque d'animation WordPress, a été utilisé comme vecteur d'attaque contre les utilisateurs Web3. Grâce à des liens malveillants, au moins un portefeuille a été vidé de 10 Bitcoin (BTC).
L'attaque de Lottie Player a affecté des projets largement utilisés comme 1inch et Mover. L'attaque sur 1inch pourrait être particulièrement préjudiciable, car le service de trading DEX est l'un des plus utilisés sur Ethereum.
Blockaid a également signalé qu'il propageait des connexions de portefeuille malveillantes via son site web. Bubble était un autre site web frontal affecté par les pop-ups malveillants, et a été l'un des premiers à être signalé. Bubble est également la source pour la création d'applications tierces, qui auraient pu être affectées pendant les heures où les anciennes versions étaient actives.
Les chercheurs de Blockaid ont identifié identifié Ace Drainer comme la source la plus probable de l'attaque. La version malveillante de Lottie Player a été supprimée, mais pas avant d'avoir propagé de faux liens de signature avec des portefeuilles Web3 largement utilisés. L'attaque a été active pendant au moins 12 heures, augmentant les soldes de plusieurs portefeuilles d'attaque identifiés.
L'attaque a été remarquée pour la première fois lorsqu'un portefeuille a été vidé de 10 BTC, ce qui a conduit à la source des faux liens. Le risque résidait dans la signature rapide de toutes les demandes, y compris l'accès permanent aux portefeuilles. Cela a permis aux attaquants de vider les adresses de la chaîne C d'Avalanche, volant une forme de BTC enveloppé. L'attaque elle-même ne demandait pas de portefeuille Bitcoin en auto-garde, mais s'appuyait sur la nécessité d'une connectivité Web3.
⚠️ Il y a 3 heures, une victime a perdu 10 BTC (723 436 $) en signant une transaction de phishing.
Ce vol est probablement lié à l'attaque de la chaîne d'approvisionnement sur Lottie Player plus tôt aujourd'hui. https://t.co/Puq5zUnKO9 pic.twitter.com/STYgRGgyK9
— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) 31 octobre 2024
Les utilisateurs ont également noté que Lottie Player remplirait un itinéraire Web3 avec une transaction malveillante lorsqu'il est utilisé pour des sites web de manière habituelle. Les analystes ont noté que l'attaque ciblait Ethereum et les chaînes compatibles EVM.
Les adresses des attaquants continuent de montrer une activité, affectant de petites positions de divers jetons Web3. Pour l'instant, l'ampleur totale de l'attaque n'a pas été comptabilisée et pourrait avoir affecté d'autres jetons. Les attaquants à échanger échangent les jetons rapidement via Uniswap, ou même via l'échange intégré de MetaMask.
L'attaque de Lottie Player s'est propagée à plusieurs sites
L'attaque de Lottie Player affichait un écran très familier pour les utilisateurs Web3, les incitant à connecter certains des portefeuilles les plus populaires, y compris MetaMask, WalletConnect et d'autres.
Même le TryHackMe a connu l'apparition de la pop-up, mais est passé à une version plus ancienne. Le problème a été signalé par d'autres utilisateurs de sites web populaires.
L'attaque a affecté deux versions de Lottie Player, remarquée pour la première fois tard le 30 octobre. Les attaques provenaient des versions 2.0.5 ou supérieures. Les propriétaires de sites web ont dû nettoyer l'attaque eux-mêmes dans les premières heures, en revenant à d'autres outils ou à des versions plus anciennes de Lottie Player. Certains ont choisi de supprimer les scripts par précaution.
Les propriétaires de portefeuilles peuvent encore devoir révoquer les permissions, s'ils se sont connectés à l'un des liens injectés. Des sites comme 1inch attirent plus de 590 000 utilisateurs mensuels, et peuvent avoir affecté de multiples portefeuilles non détectés.
L'équipe de Lottie Player publie une version sûre
L'équipe de Lottie Player a réagi en téléchargeant une nouvelle version légitime 2.0.8, tout en retirant les scripts contaminés. L'équipe a noté qu'il y avait trois versions défectueuses au total, publiées directement sur NPM à l'aide d'un jeton d'accès compromis appartenant à un développeur disposant des privilèges de publication nécessaires. L'équipe précise qu'aucun autre dépôt ou bibliothèque n'a été affecté.
Lottie Player est largement utilisé pour les animations et les fonctionnalités mineures sur les sites web, mais a été ajouté à la liste des distributeurs de liens malveillants. Ce type d'attaques cible des portefeuilles individuels, s'ajoutant au risque de adresses empoisonnées, de ciblage direct par e-mail et de messages, et de fausses versions de sites web.
L'attaque se produit lors de la prochaine étape d'un marché haussier crypto, accélérant les tentatives de voler des jetons plus précieux. La connexion d'un portefeuille est mieux faite à des fins spécifiques, évitant les permissions permanentes pour la signature de transactions. Le lancement d'une connexion de portefeuille immédiatement après l'entrée sur un site web peut être un signal d'alarme.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Hristina Vasileva
Hristina Vasileva se spécialise dans les actualités liées à la DeFi, aux entreprises et à l'économie. Elle est diplômée de l'Université de Sofia avec un master en philosophie, après avoir obtenu une licence de quatre ans en administration des affaires, journalisme et communication de masse. Elle a travaillé pour l'un des principaux journaux du pays, couvrant les matières premières et les résultats d'entreprises. Actuellement, Hristina est auteure contributrice chez Cryptopolitan.
