Siste OpenSea-angrep ser hacker infiltrere Discord

OpenSea Discord-serveren ble hacket tidlig fredag ​​morgen. En serie innlegg fra en kompromittert OpenSea Discord-serverbot ledet brukerne til å lage et "YouTube Genesis Mint Pass" fra en phishing-lenke. 

OpenSea Discord Server hacket

Discord på den største NFT-markedsplassen har blitt hacket.

A tweet fra den offisielle OpenSea Support Twitter bekreftet at det var en sårbarhet i markedsplassens Discord-server fredag ​​morgen.

Hackerens første innlegg, som dukket opp i kunngjøringskanalen klokken 4:04 UTC, uttalte at OpenSea hadde "samarbeidet med YouTube for å bringe fellesskapet deres inn i NFT-området." Innlegget fortsatte med å si at partnerskapet ville inkludere utgivelsen av 100 "YouTube Genesis Mint Passes" som ville tillate innehavere å lage samarbeidsprosjekter gratis. Innlegget endte med en lenke til et falskt myntnettsted designet for å lure brukere til å signere en transaksjon som ville gi hackeren muligheten til å overføre NFT-er ut av lommeboken.

Det ser ut til at hackeren var i stand til å opprettholde sin tilstedeværelse på serveren en stund før OpenSea-ansatte klarte å gjenvinne kontrollen. Hackeren lyktes i å legge ut oppfølginger av den første falske kunngjøringen, reposte den falske lenken og oppgi at 70 % av forsyningen allerede var preget i et forsøk på å indusere "frykt for å gå glipp" hos intetanende brukere. 

On-chain data fra Etherscan viser at tapene fra hacket foreløpig er små. Totalt ser bare seks lommebøker ut til å ha blitt berørt så langt, med den mest verdifulle NFT stjålet er et ConiunPass med en markedsverdi på rundt 0.84 ETH eller $2,300. 

Tidlige rapporter tyder på at hackeren utnyttet OpenSea Discord-serverens webhooks for å få tilgang til serverkontroller. En webhook er en serverplugin som gir andre applikasjoner sanntidsdata. Mens webhooks har en nyttig funksjon, har de i økende grad blitt brukt som en angrepsvektor av hackere ettersom de lar meldinger sendes til brukere fra offisielle serverkontoer. 

OpenSea Discord-serveren er ikke den eneste som nylig ble offer for et webhooks-angrep. I begynnelsen av april var Discords fra flere fremtredende NFT-samlinger, inkludert Bored Ape Yacht Club, Doodles og KaijuKings, kompromittert bruke en lignende utnyttelse, slik at en hacker kan legge ut phishing-lenker ved å bruke offisielle serverkontoer. 

Denne historien bryter og vil bli oppdatert etter hvert som mer informasjon er tilgjengelig. 

Spesiell takk til HttpPwnHub for å identifisere hackerens lommebok. 

Avsløring: På tidspunktet for skrivingen av dette stykket eide forfatteren ETH og flere andre kryptovalutaer.