نفوذ هکرها به وب‌سایت وان‌اینچ و تن‌فایننس

حملات سایبری در حوزه ارزهای دیجیتال با هدف‌گیری پلتفرم‌های بزرگ، به‌ویژه سرویس‌های مالی غیرمتمرکز، افزایش یافته و آسیب‌های جدی به زیرساخت‌های این صنعت وارد کرده است.

به گزارش میهن بلاکچین، اخیراً نفوذ به کتابخانه «Lottie Player» باعث نمایش درخواست‌های جعلی به کاربران برای اتصال کیف پول‌ها شد.

آنچه در این مطلب می‌خوانید

۱ اینچ و تن‌فایننس، قربانی جدید هک

در ۳۰ اکتبر (۹ آبان)، وب‌سایت‌های چندین اپلیکیشن غیرمتمرکز آنلاین مورد نفوذ قرار گرفتند و مهاجمان کد مخربی را در به‌روزرسانی یک کتابخانه انیمیشن پرطرفدار به نام «Lottie Player» تزریق کردند. این کتابخانه به‌طور وسیعی در اپلیکیشن‌های امور مالی غیرمتمرکز (DeFi) مانند ۱ اینچ (1inch) و تن‌فایننس (TEN Finance) استفاده می‌شود و این اپلیکیشن‌ها در نتیجه این حمله، پنجره‌های پاپ‌آپی را به کاربران نمایش دادند که از آن‌ها می‌خواست کیف پول‌های خود را متصل کنند، در حالی که این درخواست در واقع برای سارق کریپتویی به نام «Ace Drainer» بود.

به گفته بلاک‌اید (Blockaid)، یک پلتفرم امنیتی کریپتو، هدف اصلی این حمله وب‌سایت‌های بزرگ کریپتو بودند که از این کتابخانه استفاده می‌کردند. گل ناگلی (Gal Nagli)، سرپرست امنیت در شرکت سایبری ویز (Wiz)، توضیح داد که این حمله ناشی از یک حمله زنجیره تأمین بزرگ (Supply Chain Attack) به «Lottie Player» بود.

این کتابخانه به‌طور گسترده‌ای برای ارائه انیمیشن‌ها در وب‌سایت‌ها و اپلیکیشن‌ها مورد استفاده قرار می‌گیرد و مشتریان معروفی مانند اپل (Apple)، اسپاتیفای (Spotify) و دیزنی (Disney) دارد.

این حمله از آن جهت منحصر به فرد است که یک پاپ آپ مخرب را به وب‌سایت‌هایی که به‌نظر می‌رسید غیرمخرب باشند، تزریق کرده است. به‌طور معمول، مهاجمان از حساب‌های کاربری محبوب در شبکه‌های اجتماعی برای فریب کاربران و هدایت آن‌ها به وب‌سایت‌های جعلی استفاده می‌کنند. جاوش حامد (Jawish Hameed)، معاون مهندسی در «LottieFiles»، شرکت ناشر این کتابخانه، در گیت‌هاب (GitHub) نوشت که نسخه‌های آسیب‌دیده این کتابخانه حذف شده و از کاربران خواسته شده تا آخرین نسخه را نصب کنند. وی همچنین اعلام کرد که مهاجمان حساب گیت‌هاب یکی از مهندسان نرم‌افزار ارشد «LottieFiles» را دزدیده و در مدت سه ساعت سه به‌روزرسانی مخرب را منتشر کردند.

طبق گزارش‌ها، این نفوذ از طریق یک سرور محتوا به «Lottie Player» معرفی شده و یک بسته «npm» مخرب برای توزیع کد تغییر یافته مورد استفاده قرار گرفته است. در حال حاضر، هیچ‌یک از کیف پول‌های کاربران به‌طور گزارش‌شده به‌خطر نیفتاده است، اما با توجه به اینکه این نفوذ به نسخه‌های ۲.۰.۵ و بالاتر «Lottie Player» مربوط می‌شود، خطر انجام معاملات غیرمجاز از طریق وب‌سایت‌های آسیب‌دیده وجود دارد.

به کاربران هشدار داده شده که از ارتباط با کیف پول‌های خود یا تعامل با پلتفرم‌های آسیب‌دیده تا زمان حل مشکلات امنیتی خودداری کنند. در حال حاضر، «۱ اینچ» بیانیه رسمی در مورد این نقض منتشر نکرده است، اما تیم «Lottie Player» اظهار داشت که علت نفوذ را شناسایی کرده و در حال کار بر روی حذف نسخه‌های آسیب‌دیده هستند.

حملات هکری در حال افزایش است

حملات هکری در صنعت کریپتو همچنان در حال افزایش است و نقض‌های امنیتی به یکی از مشکلات اصلی این صنعت تبدیل شده‌اند. هر سال، فعالیت‌های مخرب در این حوزه رشد و نگرانی‌های بیشتری ایجاد می‌کنند.

به‌تازگی، گزارش شده که هکرها حدود ۲۰ میلیون دلار از ارزهای دیجیتال را از دولت آمریکا سرقت کرده‌اند. این سرمایه‌ها بخشی از ۳.۶ میلیارد دلاری بودند که توسط مقامات از هکرهای مرتبط با صرافی بیتفینکس (Bitfinex) توقیف شده بود.

از سوی دیگر، شرکت وام‌دهی بلاکچینی رادیانت کپیتال (Radiant Capital) یکی از بزرگترین هک‌های امسال را تجربه کرد و بیش از ۵۰ میلیون دلار از دارایی‌های خود را از دست داد. هکرها با دسترسی به کلیدهای خصوصی این شرکت، به‌سرعت دارایی‌های آن را به سرقت بردند.

با این حال، تحقیقات و پیگیری‌های قانونی نیز در راستای مقابله با این جنایات شدت گرفته‌اند. به تازگی، سازمان FBI فردی که حساب اکس (X) کمیسیون بورس و اوراق بهادار (SEC) را هک کرده بود، دستگیر کرد. این فرد که اریک کانسیل جونیور (Eric Council Jr) نام دارد، ۲۵ ساله و اهل آلاباماست.

گفته می‌شود که کانسیل اوایل امسال با هک حساب کمیسیون بورس و اوراق بهادار، اخبار جعلی درباره تأییدیه‌های ETF بیت کوین منتشر کرد که تاثیر زیادی بر بازار داشت. با این حال، مقامات معتقدند که کانسیل مغز متفکر این عملیات نبوده و در تلاش هستند تا با وی توافقی برای کاهش مجازات انجام دهند.

تاکنون، هک‌های کریپتو در سال ۲۰۲۴ از ۲.۱ میلیارد دلار فراتر رفته‌اند و بیشتر آسیب‌ها متوجه پلتفرم‌های مالی متمرکز (CeFi) بوده است.