Desgraciadamente, las colecciones de tokens no fungibles (NFT) siguen siendo los principales objetivos de los hackers, y el proyecto Azuki ha sido víctima de un ataque. Un individuo malintencionado se apoderó de la cuenta de Twitter del proyecto para compartir un enlace de suplantación de identidad y consiguió robar fondos de algunos usuarios
La cuenta de Twitter de Azuki en malas manos
El viernes 27 de enero, la cuenta de Twitter del proyecto de fichas no fungibles (NFT) Azuki fue pirateada. El autor del ataque invitó a la comunidad Azuki a «reclamar tierras» en «El Jardín», el metaverso dedicado a la recaudación
Captura de pantalla del tuit malicioso, borrado desde entonces (enlace oculto)
Desgraciadamente, a través de este enlace aparentemente honesto, los miembros de la comunidad Azuki vieron sus carteras vaciadas al dar un permiso malicioso en el sitio de phishing. En sólo 30 minutos, 11 NFT y 3,9 ETH fueron recuperados por el hacker, y 750.000 USDC fueron enviados a su cartera, ahora identificada como un sitio de phishing por Etherscan.
Los USDC fueron entonces enviados a otra cartera, también identificada por Etherscan, que intercambió sus tokens por WETH (Wrapped Ether) a través del protocolo financiero descentralizado Uniswap V3 (DeFi) a través de 2 transacciones separadas visibles aquí y aquí.
La community manager del proyecto, Rose, confirmó rápidamente el hackeo de la cuenta de Azuki. Afortunadamente, los daños fueron relativamente limitados gracias a la reactividad de la comunidad, ya que MetaMask, por ejemplo, bloqueó rápidamente el dominio en cuestión para proteger a sus usuarios, al igual que Phantom o ZenGo.
Un asunto bastante turbio
La cuenta de Twitter de Azuki se recuperó afortunadamente por la tarde, y durante la noche se publicó un tuit post-mortem del proyecto.
1/ El Twitter de @AzukiOfficial se ha visto comprometido hoy. Se publicaron una serie de tweets maliciosos durante la mañana del viernes 27 de enero (hora del Pacífico).
El equipo ha recuperado el control del Twitter de @AzukiOfficial
Detalles a continuación
– Azuki (@Azuki) 27 de enero de 2023
Como se menciona en el hilo, la cuenta de Twitter se recuperó con relativa rapidez gracias al trabajo realizado conjuntamente con los equipos de la red social. Sin embargo, el origen de la brecha sigue siendo un misterio, ya que al parecer, según el comunicado, la cuenta en cuestión estaba protegida por un método de autenticación de dos factores (2FA). Por ello, Azuki ha puesto en marcha una investigación para esclarecer el asunto.
ZachXBT, conocido por sus investigaciones en cadena, parece haber encontrado el principio de una pista. Según él, se trata del mismo individuo que consiguió hackear las cuentas de Twitter de los proyectos NFT Mutant Hounbds, AKCB y Chimpers.
Fue el mismo estafador llamado Lock que comprometió las cuentas de Twitter de Mutant Hounds, AKCB y Chimpers recientemente. pic.twitter.com/YSgy6SnvJr
– ZachXBT (@zachxbt) 27 de enero de 2023
También explica que el fallo podría haber venido del lado de Twitter y que los equipos de Azuki no podrían haber hecho nada más para evitar el ataque, lo que explicaría que el fallo se saltara el 2FA, una medida de seguridad reconocida. De hecho, en el pasado hemos visto a hackers dispuestos a pagar grandes sumas de dinero para saltarse la seguridad de las cuentas de Twitter.
Sin embargo, esto son sólo especulaciones y aún no hay nada confirmado. Sin embargo, sería muy interesante entender cómo el mismo hacker fue capaz de obtener acceso a tantas cuentas diferentes de Twitter
