- Lottie Playerの悪意あるバージョンが、1inch、Bubble、Blockaidを含む複数のWeb3プロジェクトおよびフロントエンドサイトに影響を与えました。
- アニメーションプレーヤーはウォレット接続のためのポップアップを表示し、権限の署名後にすべての資産を盗みました。
- Lottie Playerチームは古いバージョンを削除し、新しい安全なバージョンをアップロードしました。
Lottie Playerがサプライチェーン攻撃を受け、1つのウォレットに10ビットコイン（BTC）が影響を受けた。このWordpressツールは悪用され、Web3ユーザーに悪意のあるリンクを送信し、ウォレットを空にする効果を生んだ。
WordpressのアニメーションライブラリであるLottie Playerは、Web3ユーザーに対する攻撃のベクトルとして使用された。悪意のあるリンクを通じて、少なくとも1つのウォレットから10ビットコイン（BTC）が抜き取られた。
Lottie Playerの攻撃は、1inchやMoverなど広く使用されているプロジェクトに影響を与えた。1inchの攻撃は特に有害であり得る。なぜなら、このDEX取引サービスはEthereum上で最も広く使用されているものの一つだからだ。
Blockaidもまた、自社のウェブサイトを通じて悪意のあるウォレット接続を広めていると報告している。 Bubble は、悪意のあるポップアップの影響を受けた別の前面表示ウェブサイトであり、最初に報告されたものの一つとなった。Bubbleはサードパーティ製アプリの構築元でもあり、古いバージョンがアクティブだった数時間中に影響を受けていた可能性がある。
Blockaidの研究者たちは 特定されたと報告しています 攻撃の最も可能性の高い原因を「Ace Drainer」と特定した。Lottie Playerの悪意のあるバージョンは削除されたが、広く使用されているWeb3ウォレットでの署名用の偽リンクを広げる前であった。攻撃は少なくとも12時間アクティブであり、特定された複数の攻撃用ウォレットの残高を増加させた。
攻撃は、ウォレットから10 BTCが抜き取られた際に最初に確認され、偽リンクの源が特定された。リスクは、ウォレットへの恒久的なアクセスを含むすべてのリクエストを迅速に署名することにあった。これにより、攻撃者はAvalanche C-Chainのアドレスさえも空にし、 ウォレットBTCの一種を盗むことができた。攻撃自体は自己管理型のビットコインウォレットへの接続を要求したものではなく、Web3接続の必要性に依存していた。
⚠️ 3時間前、被害者はフィッシング取引への署名により10 BTC（72万3,436ドル）を失った。
この盗難は、本日早些にLottie Playerに対するサプライチェーン攻撃に関連している可能性が高い。 https://t.co/Puq5zUnKO9 pic.twitter.com/STYgRGgyK9
— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) 2024年10月31日
ユーザーはまた、Lottie Playerが通常の使用方法でウェブサイトで使用される際、Web3ルートに悪意のあるトランザクションを埋め込むことに気づいた。アナリストは、この攻撃がEthereumおよびEVM互換チェーンを対象としていると指摘した。
攻撃者のアドレスは引き続きアクティビティを示しており、さまざまなWeb3トークンの小口残高に影響を与えている。現時点では、攻撃の全規模は把握されておらず、他のトークンにも影響を与えている可能性がある。攻撃者は 情報交換 トークンをUniswap、あるいはMetaMaskスワップを通じて素早く処理している。
Lottie Playerの攻撃が複数のサイトに拡大
Lottie Playerの攻撃は、Web3ユーザーにとって非常に馴染みのある画面を表示し、MetaMask、WalletConnect、その他のトップウォレットへの接続を促した。
たとえ TryHackMe プラットフォームもポップアップを経験したが、古いバージョンに切り替えた。この問題は、人気ウェブサイトの他のユーザーによっても報告されている。
攻撃はLottie Playerの2つのバージョンに影響を与え、10月30日の遅くに最初に確認された。攻撃はバージョン2.0.5以降から発生した。ウェブサイト所有者は、初期の数時間内で、他のツールやLottie Playerの古いバージョンへの戻しによって攻撃を自身で解消する必要があった。いくつかのサイトは、予防策としてスクリプトの削除を選択した。
ウォレット所有者は、注入されたリンクのいずれかに接続した場合、権限の取り消しをまだ行う必要があるかもしれない。 1inch のようなサイトは月間59万人以上のユーザーを集めており、複数の検出されていないウォレットに影響を与えた可能性がある。
Lottie Playerチームが安全なバージョンを公開
Lottie Playerチームは、 legitimateな新しいバージョン2.0.8をアップロードすることで対応し、 汚染されたスクリプトの 非公開化を行った。チームは、欠陥のあるバージョンが合計3つあり、必要な公開権限を持つ開発者のアクセストークンが侵害されたことでNPMに直接公開されたと指摘した。チームは、他のリポジトリやライブラリには影響がないと注記している。
Lottie Playerはウェブサイトでのアニメーションや小規模な機能に広く使用されているが、悪意のあるリンクの配布元リストに追加された。このような攻撃は個々のウォレットを対象とし、 ポイズニングされたアドレス、メールやメッセージでの直接標的化、偽のウェブサイトバージョンのリスクを増加させる。
この攻撃は、暗号通貨の強気相場（ブルマーケット）の次の段階で発生し、より価値のあるトークンを盗もうとする試みを加速させている。ウォレットへの接続は特定の目的のために行い、トランザクションの署名に対する常時権限を避けるのが最善だ。ウェブサイトに入ってからすぐにウォレット接続を起動することは、赤旗（警告）である可能性がある。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
クリスティーナ・バシレワ
Hristina Vasileva氏は、DeFi、ビジネス、経済ニュースを専門としています。ソフィア大学で哲学の修士号を取得し、その前には経営学、ジャーナリズム、マスメディアの4年間の学士課程を修了しました。同国の主要新聞の一つで商品市場や企業業績を担当し、現在はCryptopolitanの寄稿記者を務めています。
