Lottie Player подвергся атаке на цепочку поставок, в результате которой было украдено 10 обернутых BTC из кошелька Avalanche
- Вредоносные версии Lottie Player затронули несколько Web3-проектов и публичных сайтов, включая 1inch, Bubble и Blockaid.
- Плеер анимации запустил всплывающее окно для подключения кошельков, после подписания разрешения были выведены все активы.
- Команда Lottie Player отключила старые версии и загрузила новые безопасные.
Lottie Player подвергся атаке на цепочку поставок, затронув один кошелек с 10 биткоинами (BTC). Инструмент WordPress был использован для отправки вредоносных ссылок пользователям Web3, что привело к опустошению кошельков.
Lottie Player, библиотека анимации для WordPress, была использована как вектор атаки на пользователей Web3. Через вредоносные ссылки по меньшей мере один кошелек был опустошен на 10 биткоинов (BTC).
Атака на Lottie Player затронула широко используемые проекты, такие как 1inch и Mover. Атака на 1inch может быть особенно вредоносной, так как сервис торговли DEX является одним из самых широко используемых в Ethereum.
Blockaid также сообщил, что распространял вредоносные подключения кошельков через свой веб-сайт. Bubble был еще одним сайтом, затронутым вредоносными всплывающими окнами, и стал одним из первых, о которых сообщили. Bubble также является платформой для создания сторонних приложений, которые могли быть затронуты в часы, когда были активны старые версии.
Исследователи из Blockaid выявили определили Ace Drainer как наиболее вероятный источник атаки. Вредоносная версия Lottie Player была удалена, но не до того, как успела распространить фальшивые ссылки для подписи через широко используемые кошельки Web3. Атака была активной как минимум 12 часов, увеличив балансы в нескольких выявленных кошельках атакующих.
Атака была впервые замечена, когда кошелек был опустошен на 10 BTC, что привело к выявлению источника фальшивых ссылок. Риск заключался в быстром подписании всех запросов, включая постоянный доступ к кошелькам. Это позволило атакующим даже опустошить адреса Avalanche C-Chain, украв форму обернутых BTC. Сама атака не запрашивала подключение самокастодиального биткоин-кошелька, а опиралась на необходимость подключения к Web3.
⚠️ 3 часа назад жертва потеряла 10 BTC ($723 436) из-за подписания фишинговой транзакции.
Эта кража, вероятно, связана с атакой на цепочку поставок Lottie Player, произошедшей сегодня ранее. https://t.co/Puq5zUnKO9 pic.twitter.com/STYgRGgyK9
— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) 31 октября 2024 г.
Пользователи также отметили, что Lottie Player заполнял маршрут Web3 вредоносной транзакцией при обычном использовании для веб-сайтов. Аналитики отметили, что атака была направлена против Ethereum и цепочек, совместимых с EVM.
Адреса атакующих продолжают проявлять активность, затрагивая небольшие holdings различных токенов Web3. На данный момент общий размер атаки не учтен, и могли быть затронуты и другие токены. Атакующие обмениваться быстро обменивают токены через Uniswap или даже через swap в MetaMask.
Атака на Lottie Player распространилась на несколько сайтов
Атака на Lottie Player отображала очень знакомый для пользователей Web3 экран, призывая их подключить некоторые из топовых кошельков, включая MetaMask, WalletConnect и другие.
Даже Платформа TryHackMe столкнулась с этим всплывающим окном, но перешла на более старую версию. Проблема была сообщена другими пользователями популярных веб-сайтов.
Атака затронула две версии Lottie Player, впервые замеченные поздно вечером 30 октября. Атаки исходили из версий 2.0.5 и выше. Владельцам веб-сайтов пришлось самостоятельно устранять атаку в первые часы, откатываясь к другим инструментам или более старым версиям Lottie Player. Некоторые решили удалить скрипты в качестве меры предосторожности.
Владельцам кошельков, возможно, все еще придется отзывать разрешения, если они подключились к каким-либо внедренным ссылкам. Сайты, такие как 1inch⟦/N1⟧ привлекают более 590 тысяч ежемесячных пользователей, и могли затронуть множество не обнаруженных кошельков.
Команда Lottie Player публикует безопасную версию
Команда Lottie Player отреагировала, загрузив легитимную новую версию 2.0.8, в то время как отзывая загрязненные скрипты. Команда отметила, что всего было три неисправные версии, опубликованные напрямую в NPM с использованием скомпрометированного токена доступа разработчика, имеющего необходимые права на публикацию. Команда отмечает, что другие репозитории или библиотеки не были затронуты.
Lottie Player широко используется для анимации и небольших функций на веб-сайтах, но был добавлен в список распространителей вредоносных ссылок. Такие типы атак нацелены на отдельные кошельки, увеличивая риск отравленные адресапрямой атаки по электронной почте и сообщениям, а также поддельных версий веб-сайтов.
Атака происходит на следующем этапе крипто-бычьего рынка, ускоряя попытки украсть более ценные токены. Подключение кошелька лучше всего выполнять для конкретной цели, избегая предоставления полных прав на подпись транзакций. Запуск подключения кошелька сразу после входа на веб-сайт может быть красным флагом.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Христина Василева
Христина Василева специализируется на новостях из сферы DeFi, бизнеса и экономики. Она получила степень магистра философии в Софийском университете после четырехлетнего обучения по специальности «Бизнес-администрирование, журналистика и массовые коммуникации». Она работала в одной из ведущих газет страны, освещая вопросы сырьевых товаров и корпоративных финансовых результатов. В настоящее время Христина является внештатным автором новостей в Cryptopolitan.
