CORD:慢雾：浏览器恶意书签是如何盗取你的Discord Token的？_genesischain

作者：耀@慢雾安全团队背景

区块链的世界遵循黑暗森林法则，在这个世界我们随时可能遭受到来自不明的外部攻击，作为普通用户不进行作恶，但是了解黑客的作恶的方式是十分必要的。慢雾安全团队此前发布了区块链黑暗森林自救手册，其中提到了不少关于针对NFT项目方的Discord进行攻击的手法，为了帮助读者对相关钓鱼方式有更清晰的认知，本文将揭露其中一种钓鱼方法，即通过恶意的书签来盗取项目方Discord账号的Token，用来发布虚假信息等诱导用户访问钓鱼网站，从而盗取用户的数字资产。钓鱼事件

先来回顾一起Discord钓鱼事件：2022年3月14日，一则推特称NFT项目WizardPass的Discord社区被者入侵，目前已造成BAYC、Doodles、CloneX等NFT被盗，详情如下：

零知识硬件初创公司Cysic完成600万美元种子轮融资:金色财经报道，零知识 (ZK) 硬件初创公司 Cysic 完成了 600 万美元的种子轮融资。该轮融资由 Polychain Capital 领投，其他投资者包括 Hashkey、SNZ Holding、ABCDE 和 Web3.com 基金会。[2023/2/17 12:13:48]

Aleo与Forte达成合作，以将零知识证明解决方案带入链游:3月8日消息，零知识隐私应用平台Aleo与区块链游戏平台Forte达成合作，旨在为链游带来零知识证明解决方案，希望以此推动低成本交易。

Forte将使用Aleo的可扩展架构来解锁新的游戏玩法深度，并构建更具包容性和沉浸式的游戏生态系统。Forte已经在使用Aleo的技术在多个游戏经济中铸造、转移和交易NFT，以服务于现有的真实世界用例。

今年2月初，加密初创公司Aleo Systems Inc（简称Aleo）宣布完成2亿美元B轮融资，SoftBank和Kora Management领投，Andreessen Horowitz（a16z）、Tiger Global、Samsung Ventures等参投。

去年5月，Forte获得1.85亿美元A轮融资，估值10亿美元。此轮融资由风险投资基金Griffin Gaming Partners领投，Union Grove Venture Partners、Andreessen Horowitz（a16z）、Battery Ventures、早期风险投资公司Canaan等参投。（VentureBeat）[2022/3/9 13:45:18]

书签在点击时可以像在开发者工具控制台中的代码一样执行，并且会绕过CSP策略。读者可能会有疑问，类似「javascript:()」这样的链接，在添加进入到浏览器书签栏，浏览器竟然会没有任何的提醒？笔者这里以谷歌和火狐两款浏览器来进行对比。使用谷歌浏览器，拖拽添加正常的URL链接不会有任何的编辑提醒。

慢雾：Moonbirds的Nesting Contract相关漏洞在特定场景下才能产生危害:据慢雾区情报反馈，Moonbirds 发布安全公告，Nesting Contract 存在安全问题。当用户在 OpenSea 或者 LooksRare等NFT交易市场进行挂单售卖时。卖家不能仅通过执行 nesting(筑巢) 来禁止NFT售卖，而是要在交易市场中下架相关的 NFT 售卖订单。否则在某个特定场景下买家将会绕过 Moonbirds 在nesting(筑巢)时不能交易的限制。慢雾安全团队经过研究发现该漏洞需要在特定场景才能产生危害属于低风险。建议 Moonbirds 用户自行排查已 nesting(筑巢)的 NFT 是否还在 NTF 市场中上架，如果已上架要及时进行下架。更多的漏洞细节请等待 Moonbirds 官方的披露。[2022/5/30 3:50:23]

慢雾: 警惕比特币RBF风险:据BitMEX消息，比特币于区块高度666833出现陈腐区块，并产生了一笔 0.00062063 BTC 的双花交易。根据 BitMEX提供的交易内容来看，双花的两笔交易的nSequence字段的值都小于0xffffffff -1。慢雾安全团队初步认为此次双花交易有可能是比特币中的RBF交易。[2021/1/20 16:38:01]

使用谷歌浏览器，拖拽添加恶意链接同样不会有任何的编辑提醒。

使用火狐浏览器如果添加正常链接不会有提醒。

使用火狐浏览器，如果添加恶意链接则会出现一个窗口提醒编辑确认保存。

由此可见在书签添加这方面火狐浏览器的处理安全性更高。场景演示

演示采用的谷歌浏览器，在用户登录Web端Discord的前提下，假设受害者在钓鱼页面的指引下添加了恶意书签，在DiscordWeb端登录时，点击了该书签，触发恶意代码，受害者的Token等个人信息便会通过攻击者设置好的Discordwebhook发送到攻击者的频道上。下面是演示受害者点击了钓鱼的书签：

下面是演示攻击者编写的JavaScript代码获取Token等个人信息后，通过DiscordServer的webhook接收到。

笔者补充几点可能会产生疑问的攻击细节：1.为什么受害者点了一下就获取了？通过背景知识我们知道，书签可以插入一段JavaScript脚本，有了这个几乎可以做任何事情，包括通过Discord封装好的webpackChunkdiscord_app前端包进行信息获取，但是为了防止作恶的发生，详细的攻击代码笔者不会给出。2.为什么攻击者会选择Discordwebhook进行接收？因为Discordwebhook的格式为“https://discord.com/api/webhooks/xxxxxx”，直接是Discord的主域名，绕过了同源策略等问题，读者可以自行新建一个Discordwebhook进行测试。3.拿到了Token又能怎么样？拿到了Token等同于登录了Discord账号，可以做登录Discord的任何同等操作，比如建立一个Discordwebhook机器人，在频道里发布公告等虚假消息进行钓鱼。总结

攻击时刻在发生，针对已经遭受到恶意攻击的用户，建议立刻采取如下行动进行补救：立刻重置Discord账号密码。重置密码后重新登录该Discord账号来刷新Token，才能让攻击者拿到的Token失效。删除并更换原有的webhook链接，因为原有的webhook已经泄露。提高安全意识，检查并删除已添加的恶意书签。作为用户，重要的是要注意任何添加操作和代码都可能是恶意的，Web上会有很多的扩展看起来非常友好和灵活。书签不能阻止网络请求，在用户手动触发执行的那一刻，还是需要保持一颗怀疑的心。

标签：SCORCORDISCSCOSCORPFINCORD币genesischainESCO价格

瑞波币热门资讯