Lottie Player sofre ataque à cadeia de suprimentos, roubando 10 BTC empacotados de carteira Avalanche
- Versões maliciosas do Lottie Player afetaram vários projetos Web3 e sites voltados ao público, incluindo 1inch, Bubble e Blockaid.
- O player de animação lançou um pop-up para conectar carteiras, drenando todos os ativos após a assinatura de uma permissão.
- A equipe do Lottie Player removeu as versões antigas e carregou novas versões seguras.
O Lottie Player foi alvo de um ataque à cadeia de suprimentos, afetando uma carteira com 10 Bitcoin (BTC). A ferramenta do WordPress foi abusada para enviar links maliciosos a usuários da Web3, drenando efetivamente as carteiras.
O Lottie Player, a biblioteca de animação do WordPress, foi usado como vetor de ataque para usuários da Web3. Através de links maliciosos, pelo menos uma carteira foi drenada de 10 Bitcoin (BTC).
O ataque ao Lottie Player afetou projetos amplamente utilizados como 1inch e Mover. O ataque ao 1inch pode ser especialmente prejudicial, pois o serviço de negociação de DEX está entre os mais utilizados na Ethereum.
A Blockaid também relatou que tem espalhado conexões de carteiras maliciosas através de seu site. Bubble foi outro site de frente afetado pelos pop-ups maliciosos e tornou-se um dos primeiros a ser relatado. A Bubble também é a fonte para a construção de aplicativos de terceiros, que poderiam ter sido afetados nas horas em que as versões antigas estavam ativas.
Pesquisadores da Blockaid identificou identificaram o Ace Drainer como a fonte mais provável do ataque. A versão maliciosa do Lottie Player foi removida, mas não antes de espalhar links falsos para assinatura com carteiras Web3 amplamente utilizadas. O ataque esteve ativo por pelo menos 12 horas, aumentando os saldos em várias carteiras de ataque identificadas.
O ataque foi notado pela primeira vez quando uma carteira foi drenada de 10 BTC, levando à descoberta da fonte dos links falsos. O risco estava em assinar rapidamente todas as solicitações, incluindo acesso permanente às carteiras. Isso permitiu que os atacantes drenassem até endereços da Avalanche C-Chain, roubando uma forma de BTC empacotado. O ataque em si não pediu uma carteira Bitcoin de custódia própria, mas dependia da necessidade de conectividade Web3.
⚠️ 3 horas atrás, uma vítima perdeu 10 BTC (US$ 723.436) devido à assinatura de uma transação de phishing.
Este roubo está provavelmente relacionado ao ataque à cadeia de suprimentos no Lottie Player mais cedo hoje. https://t.co/Puq5zUnKO9 pic.twitter.com/STYgRGgyK9
— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) 31 de outubro de 2024
Os usuários também notaram que o Lottie Player preenchia uma rota Web3 com uma transação maliciosa quando usado para sites da maneira usual. Analistas notaram que o ataque visava a Ethereum e cadeias compatíveis com EVM.
Os endereços dos atacantes continuam mostrando atividade, afetando pequenas quantias de várias criptomoedas Web3. Por enquanto, o tamanho total do ataque não foi contabilizado e pode ter afetado outras criptomoedas. Os atacantes estão trocar convertendo as criptomoedas rapidamente através da Uniswap, ou mesmo através da troca da MetaMask.
Ataque ao Lottie Player se espalhou para vários sites
O ataque ao Lottie Player exibiu uma tela muito familiar para usuários da Web3, instando-os a conectar algumas das principais carteiras, incluindo MetaMask, WalletConnect e outras.
Mesmo a TryHackMe plataforma experimentou o pop-up, mas mudou para uma versão mais antiga. O problema foi relatado por outros usuários de sites populares.
O ataque afetou duas versões do Lottie Player, notado pela primeira vez no final de 30 de outubro. Os ataques originaram-se das versões 2.0.5 ou superiores. Os proprietários dos sites tiveram que limpar o ataque eles mesmos nas horas iniciais, revertendo para outras ferramentas ou versões mais antigas do Lottie Player. Alguns optaram por excluir os scripts como precaução.
Os proprietários de carteiras ainda podem ter que revogar permissões, se se conectaram a algum dos links injetados. Sites como 1inch atraem mais de 590 mil usuários mensais e podem ter afetado múltiplas carteiras não detectadas.
Equipe do Lottie Player publica versão segura
A equipe do Lottie Player reagiu carregando uma nova versão legítima 2.0.8, enquanto removia os scripts contaminados. A equipe observou que as versões defeituosas eram três no total, publicadas diretamente no NPM usando um token de acesso comprometido de um desenvolvedor com os privilégios de publicação necessários. A equipe observa que nenhum outro repositório ou biblioteca foi afetado.
O Lottie Player é amplamente usado para animações e recursos menores em sites, mas foi adicionado à lista de distribuidores de links maliciosos. Esse tipo de ataque visa carteiras individuais, aumentando o risco de endereços envenenadosphishing, direcionamento direto em e-mails e mensagens, e versões falsas de sites.
O ataque ocorre durante a próxima etapa de um mercado de criptomoedas em alta, acelerando as tentativas de roubar tokens mais valiosos. Conectar uma carteira é melhor feito para um propósito específico, evitando permissões de tempo integral para assinar transações. Iniciar uma conexão de carteira imediatamente após entrar em um site pode ser um sinal de alerta.
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Hristina Vasileva
Hristina Vasileva especializa-se em notícias sobre DeFi, negócios e economia. Formou-se na Universidade de Sofia com mestrado em Filosofia, após concluir graduação de 4 anos em Administração de Empresas, Jornalismo e Comunicação de Massa. Trabalhou em um dos principais jornais do país, cobrindo commodities e resultados corporativos. Atualmente, Hristina é autora contribuinte de notícias na Cryptopolitan.
