Съобщава се, че акаунтът на мениджъра на общността на BAYC в Discord е бил пробит, което е довело до публикуване на измамни подаръци в официалния Discord на BAYC.
Уеб2 приложения като Discord отново се оказаха слабото звено в арсенала на блокчейн проектите. Над 175 ETH са били източени от сметките на инвеститорите, след като сървърът на Bored Ape Yacht club Discord е бил пробит. Акаунтът на @BorisVagner, който беше повишен в социалните медии на Yuga Labs едва през януари 2022 г., беше пробит в Discord. След това нападателят е успял да публикува фишинг линкове чрез официалния акаунт на BorisVagner в сървъра Discord на Yuga Labs.
Източник: Twitter
Връзката е редактирана, за да предпази читателите от посещение на фишинг сайта. BAYC най-накрая публикува изявление почти 12 часа след като за първи път беше съобщено, в което се посочва: „В момента е в ход процедура по защита на данните,
„Нашите Discord сървъри бяха експлоатирани за кратко днес. Екипът го улови и се справи бързо. Изглежда, че са били засегнати НФТ на стойност около 200 ETH. Все още провеждаме разследване, но ако сте били засегнати, изпратете ни имейл на discord@yugalabs.io“.
В изявлението се съобщава, че екипът „се е справил бързо“ и потвърждава, че общата стойност, загубена от членовете, е 200 ETH. При днешната стойност това означава 354 хил. долара, които са изчезнали почти за нула време. Липсата на спешност при съобщаването на въпроса на своята общност и краткостта на съобщението предполагат елемент на самодоволство от страна на Yuga Labs.
Компрометиран акаунт на мениджъра на общността.
Според Peckshield „32 NFT са били откраднати, включително 1 BAKC“ OKHotshot беше един от първите, които съобщиха за пробива, като написа в Twitter: „@BorisVagner получи пробив в акаунта си, което позволи на измамниците да изпълнят фишинг атаката си. Откраднати са над 145 евро.“ OKHotshot ни съобщи ексклузивно, че става въпрос за около 354 хил. долара.
„Правилните практики за сигурност трябва да се спазват за всеки проект, който прави милиони приходи. Особено ако проектът е в топ 10 на пазара. Липсата на мениджър по сигурността увеличава значително този риск. „
OKHotshot вярва, че мениджър по сигурността би могъл да предотврати това, тъй като „той би се занимавал с практиките за сигурност на дискорда, политиката на екипа и би се уверил, че те се спазват. Никой член на екипа не трябва да има отворени директни съобщения, да клика върху линкове или да използва основните си акаунти на други сървъри, само за да дам няколко примера.“ Yuga Labs има няколко налични работни роли, но няма роли в областта на сигурността.
Реакция на общността
Криптообщността също се изказа по въпроса чрез тема, публикувана от потребителя на Reddit u/naji102. Потребителите обсъдиха спада на доверието към НФТ поради увеличаването на измамите, които идват дори от официални източници. u/XnoonefromnowhereX коментира: „Съобщението имаше граматически грешки, които би трябвало да са червен флаг“, докато u/CrimsonFox99 съпричастно заяви: „Трудно е да ги обвиняваме в тази част, особено ако идват от предполагаем доверен източник“.
Потребител на Twitter се обърна към OpenSea и LooksRare с молба: „Току-що кликнах върху фалшиво твърдение за гоблин. Бяха откраднати 2 MAYC и 8 готини котки. … Моля, помогнете. Те откраднаха всичко от мен.“ Последваха обаждания от други потребители, подкрепящи инициативата за замразяване на акаунтите на крадците. Изглежда, че често децентрализацията се подкрепя само до момента, в който инвеститорите се нуждаят от централизирана подкрепа.
BAYC Discord беше компрометиран преди
Това не е първият път, в който сървърът Discord е компрометиран. Сървърът е бил хакнат през април 2022 г., като е бил откраднат MAYC 8662. Историята продължи, тъй като по-късно стана известно, че тайванската поп звезда Джей Чоу е собственик на откраднатия НФТ на стойност 550 хил. долара. И в двата случая е бил компрометиран профил в Discord, което е позволило на атаката да публикува фишинг линкове в официалните канали.
Защита на web2 инфраструктура, свързана с web3
Излизат решения, които се опитват да се справят с проблема с измамните уебсайтове. Повечето основни антивирусни инструменти използват библиотеки от сайтове, включени в черния списък, за да помогнат на потребителите при сърфирането в интернет. Скоростта и честотата на измамите обаче означават, че тези инструменти не винаги са напълно актуални. Разширение за Chrome, наречено Wallet Guard, се опитва да реши този проблем в уеб3 пространството.
Wallet Guard каза CryptoSlate:
„Не всеки има техническо образование, нито пък е бил твърде дълго в това пространство… Нашето разширение никога не докосва портфейла ви, а само трябва да знае домейна, който се опитвате да посетите. „
Инструментът е маркирал URL адреса на фишинг сайта, публикуван в акаунта на BorisVagner в Discord, и е можел да помогне на инвеститорите да решат дали да се доверят на връзката.
Въпреки това дори инструменти като този не са неуязвими. Теоретично един опитен измамник би могъл да влезе в официалния сървър на Discord, като същевременно атакува сайт като Wallet Guard, за да го накара да изглежда като легитимен сайт.“ Въпреки това не се очаква нито един инструмент да бъде 100% неуязвим за всички атаки. Всеки начин, по който инвеститорите могат да намалят вероятността да станат жертва на измама, трябва да бъде насърчаван.
Все пак всяка фишинг измама, която атакува измама на блокчейн проект, идва чрез уеб2 връзка с блокчейн проекта. Добавянето на web3 функционалност към web2 технология като Discord би могло драстично да повиши нейната сигурност.
Потърсихме BorisVagner за коментар, но не получихме отговор.
