1 インチ Web アプリが侵害され、損失は補償される

by

10 年以上の経験を持つベテランのサイバーセキュリティ研究者として、私は侵害や攻撃をかなり見てきました。 1インチに関する最近の事件は、暗号通貨詐欺の複雑な性質と、攻撃者と防御者の間の絶え間ないいたちごっこを、改めてはっきりと思い出させます。

分散型取引所を収集するプラットフォームである 1inch は、ハッカーが更新されたアニメーション ライブラリに有害なコードを挿入した際に攻撃を受けました。これにより、ユーザーは無意識のうちに自分のデジタルウォレットを、暗号通貨資産を流出させるために設計されたツールにリンクするようになりました。

10 月 30 日、何の疑いも持たない 1 インチ ユーザーは、デジタル ウォレットのリンクを求める不審なポップアップにどこからともなく直面していることに気づきました。 Web3 セキュリティ会社 Blockaid の報告によると、これらの一見正当なプロンプトは、広く使用されている Lottie Player アニメーション ライブラリ内の侵害されたコードを介して悪意を持って挿入され、実際には通常のウォレット接続リクエストを装った「Ace ドレイナー」として知られる詐欺にユーザーを誘導しました。

事件後の 1inch の報告書では、同社の Web 分散型アプリケーション (dApp) のみが影響を受け、モバイル アプリや API サービスなどの他のすべてのプラットフォームは機能し続けたと述べています。正確な損害額は明らかにしなかったが、チームは一部のユーザーが影響を受けた可能性があることを示唆した。ただし、損失は補償されると保証しました。

研究者として、私はすべてのユーザーに、「セキュリティを強化するために依存関係管理システムを改善および強化する」という継続的な取り組みの一環として、「潜在的に有害なウォレットからERC20の承認を取り消す」ようアドバイスしています。

どうしたの？

サイバーセキュリティ専門家 Gal Nagli 氏の調査結果によると、この事件は Lottie Player アニメーション ライブラリを標的とした広範囲にわたるサプライ チェーン攻撃によって引き起こされました。

Lottie Player は Web アニメーションで頻繁に使用されており、Apple、Spotify、Disney などの著名な企業が魅力的なユーザー エクスペリエンスを開発するためによく利用しています。

まず、ハッカーは、Lottie Player ライブラリを管理する LottieFiles の主要なソフトウェア エンジニアが所有する GitHub アカウントに侵入しました。その後、彼らはこのアクセスを悪用して、3 時間にわたって 3 つの有害な更新を投稿しました。これらのアップデートの内容には、ライブラリを利用する Web サイトに悪意のあるポップアップを密かに挿入するコードが含まれていました。

Nagli 氏の評価によると、最初の攻撃のターゲットは Web3 企業でしたが、関与したライブラリ バージョンを利用しているサイトは依然として危険にさらされている可能性があると警告しました。

現在、影響を受けたライブラリは GitHub から削除されています。代わりに最新バージョンに更新することをお勧めします。

10 月 31 日、Scam Sniffer が最近の更新で報告したように、フィッシング詐欺による意図しない送金により、少なくとも 1 人の個人が約 10 ビットコイン (現時点で約 723,436 ドルに相当) の損失を被ったと述べられました。

3 時間前、ある個人がフィッシング詐欺による不正な取引をクリックした後、意図せず 10 ビットコイン (723,436 ドル相当) を送金してしまいました。

この事件は、最近のサプライ チェーン攻撃に関連している可能性があります。今日初めに Lottie Player で発生しました。

— Scam Sniffer | Web3 アンチスカム (@realScamSniffer) 2024 年 10 月 31 日

暗号通貨詐欺の複雑な性質

Blockaidの報告書によると、10月17日、分散型取引所であるAmbient Financeに関わる新たなサイバーインシデントが発生した。このケースでは、攻撃者が Ambient Finance のセキュリティを侵害するために有害なソフトウェアを挿入したと考えられています。特に、彼らは攻撃に Inferno Drainer ツールキットを使用したと言われています。

1 月初旬、ScamSniffer は、いくつかの暗号通貨スクリプト言語に共通する操作コードを操作するフィッシング スキームを検出しました。この攻撃により、aEthWETH および aEthUNI トークン約 420 万ドルが盗難されました。

以前、あるセキュリティ会社は、有害なコードを使用した窃盗ツールが、10,000以上の異なるサイトから暗号通貨を悪用して騙し取るために使用されたことを明らかにしました。

セキュリティ環境の強化や SEAL 911 などの取り組みのおかげで、時間の経過とともに、多くの暗号通貨ウォレット排出業者が活動を停止しました。それでも、敵対者はこれらの保護手段を回避する革新的な方法を執拗に考案しています。この分野を研究している研究者として、私は防御が効果的であることを確認するために、これらの攻撃者が採用する新しい戦術を常に監視しています。

2024-10-31 11:30