Lottie Player遭遇供应链攻击，从Avalanche钱包窃取10枚封装比特币

Lottie Player遭遇供应链攻击，影响了一个拥有10枚比特币（BTC）的钱包。该WordPress工具被滥用来向Web3用户发送恶意链接，从而有效地清空了钱包。 

Lottie Player这个WordPress动画库已被用作针对Web3用户的攻击载体。通过恶意链接，至少有一个钱包被清空了10枚比特币（BTC）。 

Lottie Player的攻击影响了1inch和Mover等广泛使用的项目。1inch的攻击可能特别有害，因为该去中心化交易所（DEX）交易服务是以太坊上使用最广泛的服务之一。 

Blockaid也报告称，它一直在通过其网站传播恶意钱包连接。 Bubble 是另一个受恶意弹出窗口影响的面向前端的网站，并成为首批被报告的网站之一。Bubble也是构建第三方应用的来源，在旧版本活跃的几个小时内可能受到了影响。 

Blockaid的研究人员发现 确定 Ace Drainer是此次攻击最可能的来源。恶意版本的Lottie Player已被移除，但在此之前，它已经传播了用于与广泛使用的Web3钱包签署的虚假链接。此次攻击已持续至少12小时，增加了几个已识别的攻击钱包的余额。

当钱包被清空10枚BTC时，首次注意到此次攻击，从而找到了虚假链接的来源。风险在于快速签署所有请求，包括对钱包的永久访问权限。这使攻击者甚至能够清空Avalanche C-Chain地址，窃取一种形式的 封装比特币。攻击本身并没有要求使用自托管比特币钱包，而是依赖于Web3连接的需求。

⚠️ 3小时前，一名受害者因签署钓鱼交易而损失了10枚BTC（723,436美元）。

此次盗窃可能与今天早些时候对Lottie Player进行的供应链攻击有关。 https://t.co/Puq5zUnKO9 pic.twitter.com/STYgRGgyK9

— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) 2024年10月31日

用户还指出，当以通常方式使用Lottie Player为网站时，它会用恶意交易填充Web3路由。分析师指出，此次攻击针对的是以太坊和兼容EVM的链。 

攻击者的地址继续显示活动，影响了各种Web3代币的小额持仓。目前，整个攻击规模尚未统计清楚，可能还影响了其他代币。攻击者正在 交换 通过Uniswap甚至MetaMask交换快速处理这些代币。

Lottie Player攻击蔓延至多个网站

Lottie Player的攻击显示了一个对Web3用户非常熟悉的屏幕，敦促他们连接一些顶级钱包，包括MetaMask、WalletConnect等。

即使是 TryHackMe 平台也经历了弹出窗口，但回退到了旧版本。其他流行网站的用户也报告了这个问题。 

此次攻击影响了Lottie Player的两个版本，首次注意到是在10月30日深夜。攻击源自2.0.5或更高版本。在最初几小时内，网站所有者必须通过回退到其他工具或Lottie Player的旧版本来清除攻击。有些人选择删除脚本作为预防措施。 

钱包所有者可能仍然需要撤销权限，如果他们已连接到任何注入的链接。像 1inch 这样的网站每月吸引超过59万用户，可能影响了多个未被检测到的钱包。

Lottie Player团队发布安全版本

Lottie Player团队通过上传合法的2.0.8新版本做出反应，同时 撤回了 受污染的脚本。团队指出，共有三个有缺陷的版本，是使用来自拥有发布特权的开发者的受损访问令牌直接发布到NPM的。团队指出，没有其他存储库或库受到影响。 

Lottie Player广泛用于网站上的动画和小功能，但已被添加到恶意链接分发商的名单中。这类攻击针对个人钱包，增加了 中毒地址、电子邮件和消息中的直接 targeting，以及虚假网站版本的风险。 

此次攻击发生在加密货币牛市下一阶段，加速了窃取更有价值代币的企图。连接钱包最好是为了特定目的，避免签署交易的永久权限。在进入网站后立即启动钱包连接可能是一个危险信号。