coinphony.com
Ein neuer Tag, ein weiterer Phishing-Angriff im Kryptobereich.
Der offizielle Twitter-Account des beliebten Ethereum NFT Sammlung Gutter Cat Gang-und sein Konto des Mitgründers– wurde gehackt, was zum Verlust von mindestens führte 750.000 US-Dollar. Andere Schätzungen
Andere gehen davon aus, dass durch den Exploit bis zu 900.000 US-Dollar verloren gingen. Mindestens eine der Wallets des Angreifers hat die gestohlenen Vermögenswerte inzwischen für 640.000 US-Dollar verkauft, wie bestätigt wurde AegisWeb3.
Die große Bandbreite der Schätzungen ist wahrscheinlich auf die große Bandbreite der erbeuteten NFTs und deren unterschiedliche Mindestpreise zurückzuführen.
Anders ausgedrückt: Mindestens 87 NFTs wurden von 16 Benutzern gestohlen, wobei eine Adresse 36 NFTs verlor, darunter ein Bored Ape, der im September 2021 für 125.000 US-Dollar verkauft wurde.
Der Hacker getwittert Freitag, Werbung für einen „öffentlichen Airdrop“ von GutterMelo – einer legitimen Gutter Cat Gang-Kollektion, die Ende letzten Monats veröffentlicht wurde. Der Hacker hat einen Phishing-Link zu einem gefälschten Airdrop gepostet, der die mit der Website verbundenen Wallets geleert hat.
„Meistens [with an attack like this] Ein Opfer interagiert mit einem böswilligen Vertrag, bei dem das Opfer diesem Vertrag zustimmt, die Token im Namen des Benutzers auszugeben. So funktioniert ‚transferFrom()‘“, sagte Adrian Hetman, Tech Lead Triager bei Immunefi Entschlüsseln. „Von dort aus kann der Hacker, der den Vertrag kontrolliert, die NFTs des Benutzers grundsätzlich nach Belieben übertragen.“
Zwei Tage später twitterte die Gutter Cat Gang Gesendet eine Nachbesprechung der Situation, wobei sie ihr Bedauern zum Ausdruck bringen, dass sie mit den Strafverfolgungsbehörden zusammenarbeiten und dass sie Maßnahmen ergreifen, um zu verhindern, dass es erneut zu einem Angriff kommt.
Fans des Projekts waren enttäuscht von einer möglichen Entschädigung der Opfer keine Rede zu sehen.
Die Twitter-Konten der Gutter Cat Gang wurden gestern kompromittiert. Schädliche Tweets wurden am Freitagnachmittag, dem 7. Juli (Eastern Time), gepostet. Das Team hat die Kontrolle über die bekanntermaßen kompromittierten Konten zurückerlangt.
Wir haben umgehend Kontakt zu unseren Kontakten bei Twitter, Strafverfolgungsbehörden und Mobilgeräten aufgenommen.
— Gutter Cat Gang (@GutterCatGang) 8. Juli 2023
Entschlüsseln hat das Gutter Cat Gang-Team kontaktiert, aber zum Zeitpunkt der Veröffentlichung noch nicht geantwortet.
Sicherheit der Gutter Cat Gang?
Trotz des Hacks behauptet Gutter Cat Gang, „Multi-Faktor-Authentifizierung und Sicherheitsmaßnahmen“ eingesetzt zu haben.
Es ist unklar, welche Multi-Faktor-Authentifizierung und Sicherheitsmaßnahmen das Team verwendet hat. Twitter bietet drei Multi-Faktor-Optionen: App-basierte Authentifizierung, SMS oder einen dedizierten Schlüssel.
„Die mit Abstand sicherste Option ist die App-basierte Authentifizierung mit etwas wie Authy, Microsoft Authenticator oder Google Authenticator“, sagte James Bore, Experte für Cybersicherheit Entschlüsseln. „Der Authentifizierungscode wird niemals über ein Netzwerk übertragen, daher besteht für niemanden die Möglichkeit, ihn abzufangen.“
„Ein dedizierter USB-Sicherheitsschlüssel ist eine sicherere Option als eine Telefon-App, wird jedoch aufgrund der zusätzlichen Kosten und Unannehmlichkeiten oft weniger beliebt und weil es wahrscheinlicher ist, dass Sie einen Hardwareschlüssel verlieren oder vergessen als Ihr Telefon“, fügte Bore hinzu.
Allerdings behauptet der Krypto-Detektiv ZachXBT, dass das Team eine SMS-Authentifizierung verwendet habe. hinzufügen dass es grobe Fahrlässigkeit sei, SMS genutzt zu haben [two-factor authentication] in Ihren sozialen Netzwerken nach all den letzten SIM-Tauschvorgängen.
„Bei einem SIM-Swap-Angriff übernimmt ein Betrüger die Telefonnummer eines Opfers, indem er seinen Telefonanbieter davon überzeugt, dass das Telefon verloren gegangen ist und die Nummer auf eine neue SIM-Karte portiert werden muss“, sagt Andrew Whaley, leitender technischer Direktor bei einem Social-Media-Sicherheitsunternehmen Promon. „Die neue SIM-Karte gehört natürlich dem Betrüger, und nach der Portierung haben sie Zugriff auf Telefonanrufe und SMS-Nachrichten. In diesem Fall ermöglicht Twitter das Zurücksetzen von Passwörtern, indem ein Einmalcode per SMS an das Telefon des Benutzers gesendet wird. Das hat der Betrüger verwendet.“ dies, nach dem SIM-Tausch, um den Twitter-Account zu übernehmen.“
SIM-Swap-Angriffe sind in der Kryptowelt in letzter Zeit weit verbreitet, wobei ZachXBT behauptet, dass es in den letzten Wochen „mehr als 30 SIM-Swaps im Zusammenhang mit Krypto“ gegeben habe.
Dies ist ein Projekt, das nicht in der Lage war, nicht nur einen, sondern zwei ihrer Teamkonten zu sichern …
In den letzten Wochen gab es mehr als 30 kryptobezogene SIM-Austausche. Wenn Sie wissen, dass Projekte ins Visier genommen werden, warum sollten Sie dann weiterhin SMS 2FA anstelle einer Authenticator-App oder eines Sicherheitsschlüssels verwenden?
— ZachXBT (@zachxbt) 7. Juli 2023
„Das verdeutlicht, warum SMS keine besonders sichere Form der Zwei-Faktor-Authentifizierung (2FA) ist“, sagte Whaley. „SIM-Tausch-Angriffe sind je nach Land und Mobilfunkanbieter unterschiedlich einfach durchzuführen. In manchen Ländern genügt das Drücken der ‚1‘ auf der Telefontastatur.“
Wie bleibt man geschützt?
Dies hat Fragen darüber aufgeworfen, wie Kryptoprojekte ihre Social-Media-Konten sichern.
Bore empfiehlt die Verwendung eines „langen, eindeutigen Passworts“ bei gleichzeitiger Verwendung eines Hardwareschlüssels für die Zweitfaktor-Authentifizierung.
Benutzer sollten außerdem den Passwort-Reset-Schutz aktivieren, der sowohl Ihre E-Mail-Adresse als auch Ihre Telefonnummer erfordert, bevor jemand versuchen kann, das Passwort eines Kontos zurückzusetzen.
Als letzten Schutz empfiehlt Bore, eine Telefonnummer zu haben, die Sie nur aus Sicherheitsgründen verwenden. Das bedeutet, dass Sie Ihre Nummer niemals an Personen weitergeben, mit denen Sie Kontakt aufnehmen können.