लेजर हैकर ने वेब3 ऐप्स का फायदा उठाया, स्नीकी स्कीम में $ 484,000 से अधिक की निकासी की
Summary:
14 दिसंबर को, एक हैकर दुर्भावनापूर्ण टोकन लेनदेन को मंजूरी देने में उपयोगकर्ताओं को धोखा देकर कई वेब 3 ऐप से $ 484,000 से अधिक निकालने में कामयाब रहा। हैकर ने एक पूर्व लेजर कर्मचारी के नोड पैकेज मैनेजर जावास्क्रिप्ट खाते तक पहुंच प्राप्त की और लेजर कनेक्ट के गिटहब रेपो में एक हानिकारक अपडेट अपलोड किया, इस प्रकार उपयोगकर्ताओं के ब्राउज़रों में दुर्भावनापूर्ण कोड फैल गया। जैपर, सुशीस्वैप, फैंटम, बैलेंसर और रिवोक डॉट कैश सहित कई वेब 3 ऐप संक्रमित थे। साइवर्स टीम का सुझाव है कि हानिकारक कोड ने हैकर को उपयोगकर्ता वॉलेट के भीतर लेनदेन को संशोधित करने में सक्षम बनाया, जिसके परिणामस्वरूप गलत अनुमोदन हुआ। टीम ने इस तरह के हमलों से बचने के लिए प्रत्येक लेनदेन पुष्टिकरण संदेश की जांच करने के महत्व पर जोर दिया।
14 दिसंबर को, 'लेजर हैकर' के रूप में पहचाने जाने वाले एक हैकर ने उपयोगकर्ताओं को मैलिफिसेंट टोकन अनुमोदन को मंजूरी देने में धोखा देकर वेब 3 एप्लिकेशन की एक सरणी से न्यूनतम $ 484,000 एकत्र करने में कामयाबी हासिल की। ब्लॉकचेन सुरक्षा प्लेटफॉर्म टीम साइवर्स द्वारा समर्थित हमला सुबह के घंटों के दौरान हुआ। गलत करने वाले ने एक पूर्व लेजर कर्मचारी के कंप्यूटर को हैक करने के लिए फ़िशिंग हेरफेर का उपयोग किया, जिससे कार्यकर्ता के नोड पैकेज मैनेजर जावास्क्रिप्ट खाते में प्रवेश हासिल हुआ। लेजर कनेक्ट किट के दुर्भावनापूर्ण संस्करण को नोट किया गया और मिटा दिया गया, जिसमें एक वैध संस्करण तुरंत पेश किया गया।
इस आक्रमण के बाद, लेजर कनेक्ट के गिटहब रेपो के लिए एक हानिकारक अपडेट अपलोड किया गया था। लेजर कनेक्ट वेब 3 अनुप्रयोगों के लिए एक लगातार पैकेज है। इनमें से कुछ अपग्रेडेड ऐप्स अनजाने में यूजर्स के ब्राउजर्स में मैलिवोलेंट कोड फैला देते हैं। जैपर, सुशीस्वैप, फैंटम, बैलेंसर और रिवोक.कैश, अन्य वेब 3 अनुप्रयोगों के बीच, दूषित थे, जिसके माध्यम से घुसपैठिया $ 484,000 से कम निकालने में सक्षम था। यह संभावना है कि अन्य ऐप भी प्रभावित हुए, जिससे पूरे एथेरियम वर्चुअल मशीन पारिस्थितिकी तंत्र में चिंता बढ़ गई।
साइवर्स के सीईओ डेडी लाविद, सीटीओ मीर डोलेव और ब्लॉकचेन विश्लेषक हकल उनल ने हमले की प्राप्ति पर अटकलें लगाईं, यह दर्शाता है कि ऐसा लगता है कि अपराधी ने उपयोगकर्ता वॉलेट में लेनदेन के विवरण को धोखा देने के लिए हानिकारक कोड का उपयोग किया, जिससे उन्हें उन लेनदेन को मंजूरी देने में धोखा दिया गया जो वे नहीं चाहते थे।
ओपन-सोर्स 'कनेक्ट किट' का उपयोग आमतौर पर डेवलपर्स द्वारा किया जाता है जो वेब 3 ऐप बनाते हैं, जिससे ऐप को उपयोगकर्ता वॉलेट के साथ लिंक करने की सुविधा मिलती है। लेजर का कनेक्ट किट ऐसा ही एक विकल्प है। नोड पैकेज मैनेजर के माध्यम से ऐप के निर्माण के बाद, ऐप में इसके कोड के हिस्से के रूप में कनेक्ट किट होगा, जिसे साइट पर जाने पर उपयोगकर्ता के ब्राउज़र में डाउनलोड किया जाता है।
लेजर कनेक्ट किट के भीतर एम्बेडेड प्रतिकूल कोड ने संभवतः हैकर को उपयोगकर्ता के वॉलेट में धकेले गए लेनदेन को संशोधित करने का अधिकार दिया। उदाहरण के लिए, हानिकारक कोड ने उपयोगकर्ता के वॉलेट को ऐप के बजाय हमलावर के पते वाले टोकन अनुमोदन पुष्टिकरण अनुरोध को प्रकट करने के लिए प्रेरित किया हो सकता है, जिससे उपयोगकर्ता अनजाने में लेनदेन की पुष्टि कर सकते हैं।
साइवर्स टीम ने चेतावनी दी कि इस तरह के हमले से बचना बेहद चुनौतीपूर्ण है क्योंकि वॉलेट लगातार उपयोगकर्ताओं को उनके कार्यों के बारे में समझने योग्य जानकारी प्रदान नहीं करते हैं। टीम ने ऐप का उपयोग करते समय प्रत्येक लेनदेन पुष्टिकरण संदेश की सावधानीपूर्वक जांच की सलाह दी, भले ही लेनदेन कोड में प्रदर्शित हो जिसे समझना मुश्किल हो।
साइवर्स के अनुसार, उनका प्लेटफॉर्म, व्यवसायों को यह पता लगाने में सक्षम बनाता है कि क्या विशिष्ट पते सुरक्षा घटनाओं में शामिल किए गए हैं। जबकि वे भविष्य के वेब 3 टूल को संभावित रूप से ऐसे हमलों का पता लगाने और रोकने के लिए सुसज्जित होने के रूप में देखते हैं, उन्होंने स्वीकार किया कि अभी भी काफी काम किया जाना बाकी है।
Published At
12/15/2023 2:30:22 AM
Disclaimer: Algoine does not endorse any content or product on this page. Readers should conduct their own research before taking any actions related to the asset, company, or any information in this article and assume full responsibility for their decisions. This article should not be considered as investment advice. Our news is prepared with AI support.
Do you suspect this content may be misleading, incomplete, or inappropriate in any way, requiring modification or removal?
We appreciate your report.