- 악성 버전의 Lottie Player는 1inch, Bubble, Blockaid를 포함한 여러 Web3 프로젝트 및 대면 사이트에 영향을 미쳤습니다.
- 애니메이션 플레이어가 지갑 연결 팝업을 실행하여 권한 서명 후 모든 자산을 공유했습니다.
- Lottie Player 팀은 이전 버전을 내리고 새로운 안전한 버전으로 교체했습니다.
Lottie Player가 공급망 공격을 받아 10비트코인(BTC)을 보유한 하나의 지갑에 영향을 미쳤습니다. 이 Wordpress 도구는 Web3 사용자에게 악성 링크를 보내 지갑을 효과적으로 비우는 데 악용되었습니다.
Wordpress 애니메이션 라이브러리인 Lottie Player는 Web3 사용자를 공격하는 벡터로 사용되었습니다. 악성 링크를 통해 최소 하나의 지갑에서 10비트코인(BTC)이 모두 빠져나갔습니다.
Lottie Player 공격은 1inch와 Mover와 같이 널리 사용되는 프로젝트에 영향을 미쳤습니다. 1inch 공격은 특히 해로울 수 있는데, 이 DEX 거래 서비스는 이더리움에서 가장 널리 사용되는 서비스 중 하나이기 때문입니다.
Blockaid도 자사 웹사이트를 통해 악성 지갑 연결을 확산시키고 있다고 보고했습니다. 버블(Bubble) 은 악성 팝업에 영향을 받은 또 다른 프론트엔드 웹사이트였으며, 보고된 첫 번째 사례 중 하나가 되었습니다. Bubble은 또한 서드파티 앱 빌드의 소스이며, 이전 버전이 활성화되어 있던 시간 동안 영향을 받았을 수 있습니다.
Blockaid의 연구원들은 식별된 공격의 가장 유력한 원천을 '에이스 드레이너(Ace Drainer)'로 지목했습니다. Lottie Player의 악성 버전은 제거되었지만, 널리 사용되는 Web3 지갑으로 서명하기 위한 가짜 링크를 확산시키기 전이었습니다. 공격은 최소 12시간 동안 지속되었으며, 여러 식별된 공격 지갑의 잔액을 증가시켰습니다.
공격은 지갑에서 10 BTC가 빠져나가는 것으로 처음 발견되었으며, 이는 가짜 링크의 원천으로 이어졌습니다. 위험은 지갑에 대한 영구 접근권을 포함한 모든 요청을 빠르게 서명하는 데 있었습니다. 이를 통해 공격자들은 Avalanche C-Chain 주소까지 비워 래핑된 BTC를 훔칠 수 있었습니다. 공격 자체는 자가 관리형 비트코인 지갑을 요청하지 않았지만, Web3 연결의 필요성에 의존했습니다.
⚠️ 3시간 전, 한 피해자가 피싱 거래 서명으로 인해 10 BTC($723,436)를 손실했습니다.
이 도난은 오늘早些에 Lottie Player에 대한 공급망 공격과 관련이 있을 가능성이 높습니다. https://t.co/Puq5zUnKO9 pic.twitter.com/STYgRGgyK9
— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) 2024년 10월 31일
사용자들은 또한 Lottie Player가 평소와 같이 웹사이트에 사용할 때 Web3 경로에 악성 트랜잭션을 채워넣는다고 지적했습니다. 분석가들은 이 공격이 이더리움 및 EVM 호환 체인을 표적으로 삼았다고 밝혔습니다.
공격자의 주소는 여전히 활동을 보이며 다양한 Web3 토큰의 소액 잔고에 영향을 미치고 있습니다. 현재까지 공격의 전체 규모는 파악되지 않았으며, 다른 토큰에도 영향을 미쳤을 수 있습니다. 공격자들은 교환 토큰을 Uniswap을 통해, 심지어 MetaMask 스왑을 통해서도 빠르게 처리합니다.
Lottie Player 공격이 여러 사이트로 확산
Lottie Player 공격은 Web3 사용자에게 매우 익숙한 화면을 표시하여 MetaMask, WalletConnect 등 상위 지갑 중 일부에 연결할 것을 촉구했습니다.
심지어 TryHackMe 플랫폼도 팝업을 경험했지만 이전 버전으로 이동했습니다. 이 문제는 인기 웹사이트의 다른 사용자들에 의해 보고되었습니다.
공격은 10월 30일 늦게 처음 발견된 Lottie Player의 두 버전에 영향을 미쳤습니다. 공격은 버전 2.0.5 이상에서 기원했습니다. 웹사이트 소유자들은 초기 시간 동안 다른 도구로 전환하거나 Lottie Player의 이전 버전으로 되돌려 공격을 자체적으로 해결해야 했습니다. 일부는 예방 차원에서 스크립트를 삭제하기도 했습니다.
지갑 소유자는 주입된 링크 중 하나에 연결한 경우 여전히 권한을 취소해야 할 수 있습니다. 같은 1inch 사이트는 월간 59만 명 이상의 사용자를 끌어들이며, 여러 개의 탐지되지 않은 지갑에 영향을 미쳤을 수 있습니다.
Lottie Player 팀, 안전한 버전 게시
Lottie Player 팀은 정당한 새 버전 2.0.8을 업로드하는 동시에 오염된 스크립트를 게시 취소했습니다. 팀은 결함이 있는 버전이 총 세 개였으며, 필요한 게시 권한을 가진 개발자의 침해된 접근 토큰을 사용하여 NPM에 직접 게시되었다고 밝혔습니다. 팀은 다른 저장소나 라이브러리는 영향을 받지 않았다고 언급했습니다.
Lottie Player는 웹사이트에서 애니메이션과 소규모 기능에 널리 사용되지만, 이제 악성 링크의 배포자 목록에 추가되었습니다. 이러한 유형의 공격은 개별 지갑을 표적으로 삼아 오염된 주소, 이메일과 메시지의 직접적인 표적화, 가짜 웹사이트 버전의 위험을 증가시킵니다.
이 공격은 암호화폐 불장(next stage)의 다음 단계에서 발생하며, 더 가치 있는 토큰을 훔치려는 시도를 가속화합니다. 지갑 연결은 특정 목적을 위해 수행하는 것이 좋으며, 트랜잭션 서명에 대한 상시 권한을 피해야 합니다. 웹사이트에 진입한 직후 지갑 연결을 시작하는 것은 빨간 깃발(경고 신호)일 수 있습니다.
암호화폐 뉴스를 단순히 읽는 것을 넘어, 이해하세요. 뉴스레터에 구독하세요. 무료입니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
히리스티나 바실레바
Hristina Vasileva는 DeFi, 비즈니스 및 경제 뉴스를 전문으로 합니다. 그녀는 소피아 대학교에서 철학 석사 학위를 취득하기 전에 4 년간 경영학, 저널리즘 및 대중 커뮤니케이션 학사 과정을 수료했습니다. 그녀는 국내 유수 신문 중 하나에서 상품 및 기업 실적 보도를 담당하며 경력을 쌓았습니다. 현재 Hristina 는 Cryptopolitan 의 기여 뉴스 작가로 활동하고 있습니다.
