Ymosodiad diweddaraf OpenSea yn Gweld Haciwr yn Ymdreiddio Discord

Cafodd gweinydd OpenSea Discord ei hacio yn gynnar fore Gwener. Roedd cyfres o bostiadau gan bot gweinydd OpenSea Discord dan fygythiad wedi cyfeirio defnyddwyr i fathu “YouTube Genesis Mint Pass” o ddolen gwe-rwydo. 

Gweinydd Discord OpenSea wedi'i Hacio

Mae Discord marchnad fwyaf yr NFT wedi'i hacio.

A tweet gan y swyddogol OpenSea Support Cadarnhaodd Twitter fod gweinydd Discord y farchnad yn agored i niwed fore Gwener.

Nododd post cyntaf yr haciwr, a ymddangosodd yn y sianel gyhoeddiadau am 4:04 am UTC, fod OpenSea wedi “partneru â YouTube i ddod â’u cymuned i mewn i ofod NFT.” Aeth y swydd ymlaen i ddweud y byddai'r bartneriaeth yn cynnwys rhyddhau 100 o “Pasau Mint Genesis YouTube” a fyddai'n caniatáu i ddeiliaid bathu prosiectau cydweithredol am ddim. Daeth y swydd i ben gyda dolen i wefan bathu ffug a gynlluniwyd i dwyllo defnyddwyr i lofnodi trafodiad a fyddai'n galluogi'r haciwr i drosglwyddo NFTs o'u waled.

Mae'n ymddangos bod yr haciwr wedi gallu cynnal eu presenoldeb ar y gweinydd ers peth amser cyn i weithwyr OpenSea allu adennill rheolaeth. Llwyddodd yr haciwr i bostio dilyniant i’r cyhoeddiad ffug cychwynnol, gan ail-bostio’r ddolen ffug a nodi bod 70% o’r cyflenwad eisoes wedi’i bathu mewn ymgais i gymell “ofn colli allan” mewn defnyddwyr diarwybod. 

Data ar gadwyn o Etherscan yn dangos bod y colledion o'r hac yn fach ar hyn o bryd. At ei gilydd, mae'n ymddangos mai dim ond chwe waled sydd wedi'u heffeithio hyd yn hyn, a'r NFT mwyaf gwerthfawr a gafodd ei ddwyn yw ConiunPass gyda gwerth y farchnad o tua 0.84 ETH neu $2,300. 

Mae adroddiadau cynnar yn awgrymu bod yr haciwr wedi defnyddio bachau gwe gweinydd OpenSea Discord i gael mynediad at reolaethau gweinydd. Mae bachyn gwe yn ategyn gweinydd sy'n darparu data amser real i gymwysiadau eraill. Er bod webhooks yn ddefnyddiol, maent wedi cael eu defnyddio fwyfwy fel fector ymosodiad gan hacwyr gan eu bod yn caniatáu i negeseuon gael eu hanfon at ddefnyddwyr o gyfrifon gweinydd swyddogol. 

Nid gweinydd Discord OpenSea yw'r unig un sydd wedi dioddef ymosodiad bachau gwe yn ddiweddar. Ar ddechrau mis Ebrill, roedd Discords nifer o gasgliadau NFT amlwg, gan gynnwys Bored Ape Yacht Club, Doodles, a KaijuKings, yn wedi'i gyfaddawdu defnyddio camfanteisio tebyg, gan ganiatáu i haciwr bostio dolenni gwe-rwydo gan ddefnyddio cyfrifon gweinydd swyddogol. 

Mae'r stori hon yn torri a chaiff ei diweddaru wrth i ragor o wybodaeth ddod i law. 

Diolch arbennig i HttpPwnHub am adnabod waled yr haciwr. 

Datgelu: Ar adeg ysgrifennu'r darn hwn, roedd yr awdur yn berchen ar ETH a sawl arian cyfred digidol arall.