背景
區塊鏈的世界遵循黑暗森林法則,在這個世界我們隨時可能遭受到來自不明的外部攻擊,作為普通用戶不進行作惡,但是了解黑客的作惡的方式是十分必要的。
慢霧安全團隊此前發布了區塊鏈黑暗森林自救手冊
,其中提到了不少關于針對NFT項目方的Discord進行攻擊的手法,為了幫助讀者對相關釣魚方式有更清晰的認知,本文將揭露其中一種釣魚方法,即通過惡意的書簽來盜取項目方Discord賬號的Token,用來發布虛假信息等誘導用戶訪問釣魚網站,從而盜取用戶的數字資產。
釣魚事件
先來回顧一起Discord釣魚事件:2022年3月14日,一則推特稱NFT項目WizardPass的Discord社區被詐騙者入侵,目前已造成BAYC、Doodles、CloneX等NFT被盜,詳情如下:
Yuga Labs贏得關于BAYC無聊猿知識產權訴訟案:金色財經報道,法庭文件顯示,BAYC 母公司 Yuga Labs 在知識產權訴訟中贏得對加利福尼亞藝術家 Ryder Ripps 及其 BAYC 仿盤項目 RR/BAYC 的簡易判決。
此前報道,Ryder Ripps 從 2021 年 12 月以來一直調查 BAYC 及其創建者 Yuga Labs,認為 BAYC 與互聯網納粹巨魔文化之間存在廣泛的聯系,并推出了 BAYC 仿盤 RR/BAYC 系列;去年 6 月 Yuga Labs 對 Ryder Ripps 提起訴訟,指控他們復制和銷售 Bored Ape Yacht Club (BAYC)系列 NFT 并貶低其原創產品。2 月 7 日,2 月 7 日,Yuga Labs 與為 Ryder Ripps 的 BAYC 仿盤 RR/BAYC 系列建立網站和智能合約的 Thomas Lehman 達成訴訟和解。[2023/4/22 14:19:51]
牽出其中一個解讀:
Bastion Trading相關地址收到了1.353億枚USDT后全部轉移到Binance:金色財經報道,據 Lookonchain 監測顯示,過去兩天,Tether 在 Tron 與以太坊上鑄造 30 億枚 USDT,其中,與 Bastion Trading 有關的地址 theskybomber.eth 在過去兩天從 Tether 財庫收到 1.353 億枚 USDT 后轉入幣安。[2023/3/17 13:10:35]
該解讀里說的bookmark就是瀏覽器書簽,這個書簽里的內容可以是一段JavaScript惡意代碼,當Discord用戶點擊時,惡意JavaScript代碼就會在用戶所在的Discord域內執行,盜取DiscordToken,攻擊者獲得項目方的DiscordToken后就可以直接自動化接管項目方的Discord賬戶相關權限。
美聯儲洛根:我們最近看到了加密貨幣的風險和漏洞:金色財經報道,美聯儲洛根:我們最近看到了加密貨幣的風險和漏洞,但這些風險和漏洞還不足以對金融系統產生宏觀影響。有關央行數字貨幣的任何決定都將與國會、白宮協調做出。實時支付系統FedNow將真正拓寬更快支付的渠道。[2023/1/19 11:19:56]
背景知識
要理解該事件需要讀者有一定的背景知識,現在的瀏覽器都有自帶的書簽管理器,在提供便利的同時卻也容易被攻擊者利用。通過精心構造惡意的釣魚頁面可以讓你收藏的書簽中插入一段JavaScript代碼,當受害者點擊書簽時會以當前瀏覽器標簽頁的域進行執行。
以上圖為例,受害者打開了discord
)();">2Hello,World!3</a>
數據:元宇宙平臺月交易量銷售額下降96%:金色財經報道,根據Block Research的2023年數字資產展望報告,雖然1月份元宇宙平臺的月交易量為4920萬美元,但11月份這一數字降至僅200萬美元,比年初下降了96%。數據儀表盤顯示,元宇宙土地價格也較年初下跌了90%。(the block)[2022/12/22 21:59:47]
書簽在點擊時可以像在開發者工具控制臺中的代碼一樣執行,并且會繞過CSP(ContentSecurityPolicy)策略。
讀者可能會有疑問,類似「javascript:()」這樣的鏈接,在添加進入到瀏覽器書簽欄,瀏覽器竟然會沒有任何的提醒?
筆者這里以谷歌和火狐兩款瀏覽器來進行對比。
使用谷歌瀏覽器,拖拽添加正常的URL鏈接不會有任何的編輯提醒。
使用谷歌瀏覽器,拖拽添加惡意鏈接同樣不會有任何的編輯提醒。
使用火狐瀏覽器如果添加正常鏈接不會有提醒。
使用火狐瀏覽器,如果添加惡意鏈接則會出現一個窗口提醒編輯確認保存。
由此可見在書簽添加這方面火狐瀏覽器的處理安全性更高。
場景演示
演示采用的谷歌瀏覽器,在用戶登錄Web端Discord的前提下,假設受害者在釣魚頁面的指引下添加了惡意書簽,在DiscordWeb端登錄時,點擊了該書簽,觸發惡意代碼,受害者的Token等個人信息便會通過攻擊者設置好的Discordwebhook發送到攻擊者的頻道上。
下面是演示受害者點擊了釣魚的書簽:
下面是演示攻擊者編寫的JavaScript代碼獲取Token等個人信息后,通過DiscordServer的webhook接收到。
筆者補充幾點可能會產生疑問的攻擊細節:
1.為什么受害者點了一下就獲取了?
通過背景知識我們知道,書簽可以插入一段JavaScript腳本,有了這個幾乎可以做任何事情,包括通過Discord封裝好的webpackChunkdiscord_app前端包進行信息獲取,但是為了防止作惡的發生,詳細的攻擊代碼筆者不會給出。
2.為什么攻擊者會選擇Discordwebhook進行接收?
因為Discordwebhook的格式為
「https://discord.com/api/webhooks/xxxxxx」,直接是Discord的主域名,繞過了同源策略等問題,讀者可以自行新建一個Discordwebhook進行測試。
3.拿到了Token又能怎么樣?
拿到了Token等同于登錄了Discord賬號,可以做登錄Discord的任何同等操作,比如建立一個Discordwebhook機器人,在頻道里發布公告等虛假消息進行釣魚。
總結
攻擊時刻在發生,針對已經遭受到惡意攻擊的用戶,建議立刻采取如下行動進行補救:
1.立刻重置Discord賬號密碼。
2.重置密碼后重新登錄該Discord賬號來刷新Token,才能讓攻擊者拿到的Token失效。
3.刪除并更換原有的webhook鏈接,因為原有的webhook已經泄露。
4.提高安全意識,檢查并刪除已添加的惡意書簽。
作為用戶,重要的是要注意任何添加操作和代碼都可能是惡意的,Web上會有很多的擴展看起來非常友好和靈活。書簽不能阻止網絡請求,在用戶手動觸發執行的那一刻,還是需要保持一顆懷疑的心。
本文到這邊就結束了,慢霧安全團隊將會揭露更多關于黑暗森林的攻擊事件,希望能夠幫助到更多加密世界的人。?
作者:Corn 出品:鴕鳥區塊鏈 近期,以太坊2.0質押流動性解決方案Lido的TVL呈現出持續的增長,并且其中質押的以太坊總價值已超LTC流通市值.
1900/1/1 0:00:00作者:WillGottsegen 來源:CoinDesk 原標題:《ElonMusk,TwitterandRunningThingsLikeaDAO》 編譯:WebX實驗室 在成為世界首富之前.
1900/1/1 0:00:00來源丨深燃 作者|王敏 這年頭,走路、跑步還能賺錢?最近大火的Web3鏈游STEPN,就是喊著這個口號出圈的。簡單說,這是一款基于公共區塊鏈平臺Solana鏈的“MovetoEarn”游戲.
1900/1/1 0:00:00北京時間4月8日凌晨01:43:36,CertiK安全技術團隊監測到收益聚合平臺Starstream因其合約中的一個執行函數漏洞被惡意利用,致使約1500萬美元的資產受到損失.
1900/1/1 0:00:00據報道,加密貨幣交易所和金融服務公司Blockchain.com已經以140億美元的估值進行了新的融資.
1900/1/1 0:00:00編譯:DeFi之道 DarrenLau是誰?父親是一名會計,母親是家庭主婦Darryl是Darren的雙胞胎兄弟,Zachary是他們的大哥當他上學的時候.
1900/1/1 0:00:00