Hajautetun vaihdon aggregaattori 1inchin verkkosivusto on murrettu yhdessä useiden muiden alustojen kanssa, jotka käyttävät samaa frontend-kirjastoa, Lottie Playeria.
Murto sai alkunsa haitallisesta koodista, joka oli injektoitu Lottie Playeriin, laajalti käytettyyn animaatiokirjastoon, jota useat dAppit ja ei-kryptovaluuttasivustot käyttävät. Tähän mennessä käyttäjien lompakoita ei ole raportoitu vaarantuneen.
1inch-käyttäjiä varoitetaan kaikista vuorovaikutuksista
Useiden X:ssä (entinen Twitter) julkaistujen viestien mukaan 1inch ja TEN Finance ovat toistaiseksi vahvistetut tämän hyökkäyksen uhrit. Kuitenkin uhrien määrä saattaa olla paljon suurempi, sillä hyökkäys kohdistui Lottie Playerin versioihin 2.0.5 ja sitä uudempiin.
Hakkerit ovat raportoidusti injektoineet haitallista koodia verkkosivustojen frontend JSON-tiedostoihin, jotka käyttävät näitä versioita. Tämä koodi mahdollistaa nyt vaarantuneiden sivustojen suorittaa luvattomia transaktioita, mikä aiheuttaa vakavan uhan käyttäjien omaisuusvaroille ja tiedoille.
Lue lisää: 9 vinkkiä kryptovaluuttalompakon turvaamiseen
Blockaidin raportit osoittavat, että hyökkäys tuotiin sisään Lottie Playerin sisältöpalvelimen kompromissin kautta, jossa haitallista npm-pakettia käytettiin muutetun koodin jakeluun. Blockaid ja muut turvallisuusyritykset ovat vahvistaneet luvattomien skriptien injektoinnin pakettiin.
“Aidot sivustot (myös ei-krypto) tarjoavat nyt haitallista sisältöä, mukaan lukien anti-debug välttelykoodia. @LottieFiles, näyttää siltä, että hyökkääjät ovat onnistuneet työntämään haitallisia versioita paketistasi, toinen versio ladataan nyt,” Blockaid kirjoitti X:ssä (entinen Twitter) viestissä.
Kirjoitushetkellä 1inch ei ole julkaissut virallista lausuntoa murrosta. Lottie Playerin tiimi on kuitenkin vahvistanut, että he ovat tunnistaneet murron syyn ja työskentelevät vaikutuksen alaisten versioiden poistamiseksi.
Käyttäjiä neuvotaan välttämään lompakoiden yhdistämistä tai vuorovaikutusta vaikutuksen alaisten alustojen kanssa, kunnes turvallisuusongelmat on täysin ratkaistu.
Kryptovaluuttahyökkäykset yltyvät
Turvallisuusmurrot ovat olleet kryptovaluuttateollisuuden suurin ongelma, ja haitalliset toimet jatkavat kasvuaan vuosi vuodelta.
Äskettäin hakkerit varastivat raportoidusti 20 miljoonan dollarin arvosta kryptovaluuttoja Yhdysvaltain hallitukselta. Varat olivat myös osa 3,6 miljardin dollarin summaa, jonka liittovaltion viranomaiset takavarikoivat Bitfinexin hakkeroinnilta.
Blockchain-lainanantaja Radiant Capital kärsi tämän vuoden suurimmista hakkeroinneista, menettäen yli 50 miljoonaa dollaria. Hakkerit saivat hallintaansa yrityksen yksityiset avaimet ja tyhjensivät nämä varat nopeasti.
Lue lisää: Kryptovaluutta sosiaalisen median huijaukset – kuinka pysyä turvassa
Kuitenkin näiden rikosten tutkinta ja syyttäminen ovat myös tehostuneet. FBT pidätti äskettäin SEC:n X-tilin (entinen Twitter) hakkerin. Syytetty on 25-vuotias Alabaman mies nimeltä Eric Council Jr.
Aiemmin tänä vuonna Council muka väitetysti hakkeroi SEC:n X-tilin ja julkaisi vääriä uutisia Bitcoin ETF-hyväksynnöistä, mikä vaikutti merkittävästi markkinoihin. Siitä huolimatta liittovaltion viranomaiset uskovat, että Council ei ollut tämän operaation aivot ja he yrittävät neuvotella sopimusta hänen kanssaan.
Tähän mennessä kryptovaluuttahakkeroinnit ovat ylittäneet 2,1 miljardia dollaria vuonna 2024, CeFi-alustojen kärsiessä suurimmat tappiot.
Vastuuvapauslauseke
Kaikki verkkosivustollamme olevat tiedot julkaistaan vilpittömässä mielessä ja ainoastaan yleiseen tiedottamiseen. Lukijan on toimittava verkkosivustomme tietojen perusteella täysin omalla vastuullaan.
