Lottie Player vittima di un attacco alla catena di approvvigionamento: rubati 10 BTC avvolti da un wallet Avalanche

Lottie Player è stata colpita da un attacco alla catena di approvvigionamento, che ha interessato un wallet con 10 Bitcoin (BTC). Lo strumento per WordPress è stato abusato per inviare link malevoli agli utenti Web3, drenando efficacemente i wallet. 

Lottie Player, la libreria di animazioni per WordPress, è stata utilizzata come vettore di attacco contro gli utenti Web3. Attraverso link malevoli, almeno un wallet è stato svuotato di 10 Bitcoin (BTC). 

L'attacco a Lottie Player ha colpito progetti molto utilizzati come 1inch e Mover. L'attacco a 1inch potrebbe essere particolarmente dannoso, poiché il servizio di trading DEX è tra i più utilizzati su Ethereum. 

Blockaid ha inoltre segnalato la diffusione di connessioni a wallet malevoli attraverso il suo sito web. Bubble era un altro sito web front-end colpito dai popup malevoli ed è stato uno dei primi a essere segnalato. Bubble è anche la piattaforma per la creazione di app di terze parti, che potrebbero essere state compromesse nelle ore in cui erano attive le vecchie versioni. 

I ricercatori di Blockaid hanno Il CEO di xAI ha in precedenza attaccato Wikipedia definendola identificato Ace Drainer come la fonte più probabile dell'attacco. La versione malevola di Lottie Player è stata rimossa, ma non prima di aver diffuso link falsi per la firma con wallet Web3 molto utilizzati. L'attivo è stato attivo per almeno 12 ore, aumentando i saldi in diversi wallet di attacco identificati.

L'attacco è stato notato per la prima volta quando un wallet è stato svuotato di 10 BTC, portando alla scoperta della fonte dei link falsi. Il rischio risiedeva nella rapida firma di tutte le richieste, incluso l'accesso permanente ai wallet. Ciò ha permesso agli aggressori di drenare anche gli indirizzi della C-Chain di Avalanche, rubando una forma di BTC avvolto. L'attacco stesso non richiedeva un wallet Bitcoin self-custodial, ma si basava sulla necessità di connettività Web3.

⚠️ 3 ore fa, una vittima ha perso 10 BTC (723.436 $) a causa della firma di una transazione di phishing.

Questo furto è probabilmente correlato all'attacco alla catena di approvvigionamento su Lottie Player avvenuto oggi. https://t.co/Puq5zUnKO9 pic.twitter.com/STYgRGgyK9

— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) 31 ottobre 2024

Gli utenti hanno anche notato che Lottie Player popolava un percorso Web3 con una transazione malevola quando utilizzato per i siti web nel modo consueto. Gli analisti hanno notato che l'attacco mirava a Ethereum e alle catene compatibili con EVM. 

Gli indirizzi degli aggressori continuano a mostrare attività, influenzando piccoli saldi di vari token Web3. Per ora, l'entità totale dell'attacco non è stata quantificata e potrebbe aver interessato altri token. Gli aggressori stanno a scambiare convertendo i token rapidamente tramite Uniswap, o persino tramite lo swap di MetaMask.

L'attacco a Lottie Player si è diffuso a più siti

L'attacco a Lottie Player ha visualizzato uno schermo molto familiare per gli utenti Web3, esortandoli a connettere alcuni dei wallet principali, tra cui MetaMask, WalletConnect e altri.

Anche il TryHackMe piattaforma ha sperimentato il popup, ma è passata a una versione precedente. Il problema è stato segnalato da altri utenti di siti web popolari. 

L'attacco ha interessato due versioni di Lottie Player, notato per la prima volta la sera del 30 ottobre. Gli attacchi sono originati dalle versioni 2.0.5 o successive. I proprietari dei siti web hanno dovuto risolvere l'attacco autonomamente nelle ore iniziali, revertendo ad altri strumenti o a versioni precedenti di Lottie Player. Alcuni hanno scelto di eliminare gli script come precauzione. 

I proprietari di wallet potrebbero dover ancora revocare le autorizzazioni, se si sono connessi a uno dei link iniettati. Siti come 1inch attirano più di 590K utenti mensili e potrebbero aver interessato più wallet non rilevati.

Il team di Lottie Player pubblica una versione sicura

Il team di Lottie Player ha reagito caricando una nuova versione legittima 2.0.8, mentre rimuoveva gli script contaminati. Il team ha segnalato che le versioni difettose erano tre in totale, pubblicate direttamente su NPM utilizzando un token di accesso compromesso di uno sviluppatore con i privilegi di pubblicazione richiesti. Il team nota che nessun altro repository o libreria è stato interessato. 

Lottie Player è ampiamente utilizzato per animazioni e funzionalità minori sui siti web, ma è stato aggiunto all'elenco dei distributori di link malevoli. Questo tipo di attacchi mira ai singoli wallet, aumentando il rischio di indirizzi avvelenati, targeting diretto tramite email e messaggi e versioni falsi dei siti web. 

L'attacco avviene durante la fase successiva di un mercato rialzista delle criptovalute, accelerando i tentativi di rubare token più preziosi. La connessione di un wallet dovrebbe essere fatta per uno scopo specifico, evitando autorizzazioni permanenti per la firma delle transazioni. L'avvio della connessione al wallet immediatamente dopo l'ingresso in un sito web potrebbe essere un segnale di allarme.