SCOR:慢雾：揭露浏览器恶意书签如何盗取你的Discord账户

背景

区块链的世界遵循黑暗森林法则，在这个世界我们随时可能遭受到来自不明的外部攻击，作为普通用户不进行作恶，但是了解黑客的作恶的方式是十分必要的。

慢雾安全团队此前发布了区块链黑暗森林自救手册

，其中提到了不少关于针对NFT项目方的Discord进行攻击的手法，为了帮助读者对相关钓鱼方式有更清晰的认知，本文将揭露其中一种钓鱼方法，即通过恶意的书签来盗取项目方Discord账号的Token，用来发布虚假信息等诱导用户访问钓鱼网站，从而盗取用户的数字资产。

钓鱼事件

先来回顾一起Discord钓鱼事件：2022年3月14日，一则推特称NFT项目WizardPass的Discord社区被者入侵，目前已造成BAYC、Doodles、CloneX等NFT被盗，详情如下：

慢雾：上周Web3安全事件中总损失约1996.3万美元:金色财经报道，据慢雾区块链被黑档案库统计，2023年8月14日至8月20日，共发生安全事件10起，总损失约1996.3万美元。具体事件：

8月14日，Hexagate发推表示，过去几天单个MEV Bot被利用了约20万美元。以太坊上Zunami Protocol协议遭遇价格操纵攻击，损失1,179个ETH（约220万美元）。

8月15日，以太坊扩容解决方案Metis官方推特账号被盗。Sei Network官方Discord服务器遭入侵。Base生态项目RocketSwap遭遇攻击，攻击者窃取了RCKT代币，将其转换为价值约86.8万美元的ETH并跨链到以太坊。

8月16日，借贷协议SwirlLend团队从Base盗取了约290万美元的加密货币，从Linea盗取了价值170万美元的加密货币。BAYC推出的链上许可申请平台Made by Apes的SaaSy Labs APl存在一个问题，允许访问MBA申请的个人详细信息。

8月18日，DeFi借贷协议Exactly Protocol遭受攻击，损失超7,160枚ETH（约1204万美元）。

8月19日，Cosmos生态跨链稳定币协议Harbor Protocol被利用，损失42,261枚LUNA、1,533枚CMDX、1,571枚stOSMO和18,600万亿枚WMATIC。

8月20日，衍生品市场Thales发布公告称，一名核心贡献者的个人电脑/Metamask遭到黑客攻击，一些充当临时部署者（2.5万美元）或管理员机器人（1万美元）的热钱包已被攻破。[2023/8/21 18:13:42]

Curve稳定币3pool单日交易额达28亿美元:3月11日消息，Curve数据显示，Curve稳定币3pool（USDC/USDT/DAI）流动性池单日交易额已达28亿美元，为该池TVL的7

慢雾：从Multichain流出的资金总额高达2.65亿美元，分布在9条链:金色财经报道，自7月7日以来，从 Multichain 流出的资金总额高达 2.65 亿美元，分布在 Ethereum、BNB Chain、Polygon、Avalanche、Arbitrum、Optimism、Fantom、Cronos、Moonbeam 链。其中 6582 万美元已经被 Circle 和 Tether 冻结，1,296,990.99 ICE（约 162 万美元） 被 Token 发行方 Burn。流出的资金中，包括：

1）从 Multichain: Old BSC Bridge 转出的 USDT；

2）从 Multichain: Fantom Bridge 转出的 USDC、DAI、LINK、UNIDX、USDT、WOO、ICE、CRV、YFI、TUSD、WETH、WBTC；

3）从 Anyswap: Bridge Fantom 转出的 BIFI；

4）从 Multichain: Moonriver Bridge 转出的 USDC、USDT、DAI、WBTC；

5）从 MultiChain: Doge Bridge 转出的 USDC；

6）从 Multichain: Executor 转出的 DAI、USDC、BTCB、WBTC、WETH、Dai.e、WBTC.e、Bridged USDC、BTC、fUSDT、ETH 等；

7）从被 Etherscan 标记为 Fake_Phishing183873 的 0xe1910...49c53 转出的 WBTC、USDT、ETH，同时我们认为该标记（Fake Phishing183873）或许是 Etherscan 上的虚假标记，地址可能以前属于 Multichain 官方账户。[2023/7/11 10:48:30]

)();">2Hello,World!3</a>

慢雾：BXH 第一次被盗资金再次转移，BTC 网络余额超 2700 BTC:金色财经报道，10月8日凌晨（UTC+8），慢雾监控到 BXH 第一次被盗资金再次出现异动，经慢雾 MistTrack 分析，异动详情如下：

黑客地址 0x48c9...7d79 将部分资金（213.77 BTCB，5 BNB 和 1 ETH）转移至新地址 0xc01f...2aef，接着将资金兑换为 renBTC 跨链到 BTC 网络，跨链后地址为 1JwQ...u9oU。1JwQ...u9oU 在此次转移中接收到的总资金为 204.12 BTC。截止目前，BXH 第一次被盗事件在 BTC 网络共有 4 个黑客地址，总计余额为 2701.3 BTC，暂未进一步转移。慢雾 MistTrack 将持续监控被盗资金的转移。[2022/10/8 12:49:28]

书签在点击时可以像在开发者工具控制台中的代码一样执行，并且会绕过CSP(ContentSecurityPolicy)策略。

声音 | 慢雾：Ghostscript存在多个漏洞:据慢雾区消息，Google Project Zero发布Ghostscript多个漏洞预警，远端攻击者可利用漏洞在目标系统执行任意代码及绕过安全限制。Ghostscript 9.26及更早版本都受影响。软件供应商已提供补丁程序。[2019/1/24]

读者可能会有疑问，类似「javascript:()」这样的链接，在添加进入到浏览器书签栏，浏览器竟然会没有任何的提醒？

笔者这里以谷歌和火狐两款浏览器来进行对比。

使用谷歌浏览器，拖拽添加正常的URL链接不会有任何的编辑提醒。

使用谷歌浏览器，拖拽添加恶意链接同样不会有任何的编辑提醒。

使用火狐浏览器如果添加正常链接不会有提醒。

使用火狐浏览器，如果添加恶意链接则会出现一个窗口提醒编辑确认保存。

由此可见在书签添加这方面火狐浏览器的处理安全性更高。

场景演示

演示采用的谷歌浏览器，在用户登录Web端Discord的前提下，假设受害者在钓鱼页面的指引下添加了恶意书签，在DiscordWeb端登录时，点击了该书签，触发恶意代码，受害者的Token等个人信息便会通过攻击者设置好的Discordwebhook发送到攻击者的频道上。

下面是演示受害者点击了钓鱼的书签：

下面是演示攻击者编写的JavaScript代码获取Token等个人信息后，通过DiscordServer的webhook接收到。

笔者补充几点可能会产生疑问的攻击细节：

1.为什么受害者点了一下就获取了？

通过背景知识我们知道，书签可以插入一段JavaScript脚本，有了这个几乎可以做任何事情，包括通过Discord封装好的webpackChunkdiscord_app前端包进行信息获取，但是为了防止作恶的发生，详细的攻击代码笔者不会给出。

2.为什么攻击者会选择Discordwebhook进行接收？

因为Discordwebhook的格式为

「https://discord.com/api/webhooks/xxxxxx」，直接是Discord的主域名，绕过了同源策略等问题，读者可以自行新建一个Discordwebhook进行测试。

3.拿到了Token又能怎么样？

拿到了Token等同于登录了Discord账号，可以做登录Discord的任何同等操作，比如建立一个Discordwebhook机器人，在频道里发布公告等虚假消息进行钓鱼。

总结

攻击时刻在发生，针对已经遭受到恶意攻击的用户，建议立刻采取如下行动进行补救：

1.立刻重置Discord账号密码。

2.重置密码后重新登录该Discord账号来刷新Token，才能让攻击者拿到的Token失效。

3.删除并更换原有的webhook链接，因为原有的webhook已经泄露。

4.提高安全意识，检查并删除已添加的恶意书签。

作为用户，重要的是要注意任何添加操作和代码都可能是恶意的，Web上会有很多的扩展看起来非常友好和灵活。书签不能阻止网络请求，在用户手动触发执行的那一刻，还是需要保持一颗怀疑的心。

本文到这边就结束了，慢雾安全团队将会揭露更多关于黑暗森林的攻击事件，希望能够帮助到更多加密世界的人。?

标签：SCORORDDISCDISscor币多少钱一个HORDEDISC价格Disciplina

火必下载热门资讯