Serangan OpenSea Terbaru Melihat Peretas Menyusup ke Perselisihan

Server OpenSea Discord diretas pada Jumat pagi. Serangkaian posting dari bot server OpenSea Discord yang disusupi mengarahkan pengguna untuk mencetak "YouTube Genesis Mint Pass" dari tautan phishing. 

OpenSea Discord Server Diretas

Perselisihan pasar NFT terbesar telah diretas.

A menciak dari Twitter resmi Dukungan OpenSea mengkonfirmasi bahwa ada kerentanan di server Discord pasar Jumat pagi.

Postingan pertama peretas, yang muncul di saluran pengumuman pada pukul 4:04 pagi UTC, menyatakan bahwa OpenSea telah “bermitra dengan YouTube untuk membawa komunitas mereka ke ruang NFT.” Postingan tersebut selanjutnya mengatakan bahwa kemitraan tersebut akan mencakup rilis 100 "YouTube Genesis Mint Passes" yang akan memungkinkan pemegang untuk mencetak proyek kolaboratif secara gratis. Postingan tersebut diakhiri dengan tautan ke situs web pencetakan palsu yang dirancang untuk mengelabui pengguna agar menandatangani transaksi yang akan memberi peretas kemampuan untuk mentransfer NFT dari dompet mereka.

Tampaknya peretas dapat mempertahankan kehadirannya di server selama beberapa waktu sebelum karyawan OpenSea dapat memperoleh kembali kendali. Peretas berhasil memposting tindak lanjut dari pengumuman palsu awal, memposting ulang tautan palsu dan menyatakan bahwa 70% dari pasokan telah dicetak dalam upaya untuk menimbulkan "takut ketinggalan" pada pengguna yang tidak curiga. 

Data on-chain dari Ethercan menunjukkan bahwa kerugian dari peretasan saat ini kecil. Secara total, sejauh ini hanya enam dompet yang tampaknya terpengaruh, dengan NFT paling berharga yang dicuri adalah ConiunPass dengan nilai pasar sekitar 0.84 ETH atau $2,300. 

Laporan awal menunjukkan bahwa peretas mengeksploitasi webhook server OpenSea Discord untuk mendapatkan akses ke kontrol server. Webhook adalah plugin server yang menyediakan aplikasi lain dengan data waktu nyata. Meskipun webhook memiliki fungsi yang berguna, mereka semakin sering digunakan sebagai vektor serangan oleh peretas karena memungkinkan pesan dikirim ke pengguna dari akun server resmi. 

Server OpenSea Discord bukan satu-satunya yang baru-baru ini menjadi korban serangan webhook. Pada awal April, Discords dari beberapa koleksi NFT terkemuka, termasuk Bored Ape Yacht Club, Doodles, dan KaijuKings, telah dikompromikan menggunakan eksploitasi serupa, memungkinkan peretas memposting tautan phishing menggunakan akun server resmi. 

Cerita ini sedang rusak dan akan diperbarui saat lebih banyak informasi tersedia. 

Terima kasih khusus kepada HttpPwnHub karena telah mengidentifikasi dompet peretas. 

Pengungkapan: Pada saat penulisan artikel ini, penulis memiliki ETH dan beberapa mata uang kripto lainnya.