El análisis de los recientes hackeos de NFT Discord muestra que algunos ataques están conectados 

Discord, la plataforma de redes sociales ampliamente utilizada por los populares proyectos de fichas no fungibles (NFT), ha sido objetivo de los hackers en los últimos tres meses con una frecuencia cada vez mayor. En junio de 2022, los ataques de phishing relacionados con estafas de acuñación de NFT desplegados a través de cuentas de Discord comprometidas aumentaron un 55 % en comparación con el mes anterior.

• En los últimos dos meses se han registrado más de 100 denuncias de hackeos de canales de Discord en Chainabuse, una plataforma de denuncia de estafas dirigida por la comunidad y operada por TRM Labs.
• La comunidad NFT ha perdido unos 22 millones de dólares desde mayo de 2022, según el análisis de TRM Labs.

El 4 de junio se produjeron al menos diez ataques a cuentas de canales de Discord de NFT. Algunos proyectos, como BAYC, también fueron hackeados dos veces.

Los hackers de Discord aprovechan metodologías similares

El análisis de los datos dentro y fuera de la cadena sugiere que muchos de los ataques de Discord dirigidos a proyectos de NFT muestran patrones de comportamiento similares, en los que los hackers utilizan una serie de tácticas para estafar a los usuarios de Discord, entre ellas:

• Utilización de ingeniería social sofisticada, como phishing y cuentas fraudulentas haciéndose pasar por un administrador.
• Explotar vulnerabilidades de bots, como el bot Mee6, que permite a los administradores dar y quitar roles automáticamente y enviar mensajes a la comunidad.
• En algunos casos, los atacantes incluso actualizaron la configuración del administrador para prohibir a los moderadores de Discord interferir en las operaciones de los hackers.

Los mensajes de los piratas informáticos a los usuarios han intentado sistemáticamente aprovechar la sensación de urgencia asociada normalmente a los eventos de acuñación de NFT, incitando a los usuarios a actuar con rapidez para no perderse un regalo o un inventario limitado.

El siguiente ejemplo muestra cómo los estafadores intentan atraer a los miembros del canal de Discord para que hagan clic urgentemente en los enlaces, que finalmente fueron denunciados como maliciosos.

Los datos en cadena sugieren que algunos hackeos de la discordia están relacionados

Una revisión de más de 15 casos notables de Discord en los que se han visto comprometidos servidores de NFT y el análisis de los datos dentro y fuera de la cadena por parte de los investigadores de TRM sugieren que es probable que docenas de estos casos recientes de cuentas comprometidas estén relacionados. Algunas de las cuentas comprometidas vinculadas incluyen conocidas cuentas del proyecto NFT Discord como BAYC, Bubbleworld, Parallel, Lacoste, Tasties, Anata y una docena más.

Uno de los exploits del proyecto NFT que puede estar relacionado con otros hackeos es el de Yuga Labs, creador de la icónica colección Bored Ape Yacht Club (BAYC). Los servidores Discord de Yuga Labs fueron hackeados el 4 de junio cuando BorisVagner.ETH, Social Manager de Yuga Labs, vio comprometida su cuenta Discord verificada. Mientras controlaba la cuenta verificada, el hacker comenzó a publicar material promocional en la comunidad de Discord de la cuenta.

Los hackers se dirigieron deliberadamente a usuarios que ya poseían valiosos NFT, anunciando un "Sorteo EXCLUSIVO de BAYC, MAYC y Otherside" y proporcionando un enlace fraudulento que pedía a los usuarios que enviaran una comisión de acuñación en ETH.

Los compradores potenciales comenzaron a picar alrededor de las 8:15 am EST, haciendo clic en el enlace fraudulento y tomando medidas para conectar sus billeteras con el fin de enviar la cuota de acuñación requerida en ETH. En su lugar, el ETH fue directamente a la dirección del estafador, y las transacciones comprometieron los monederos de las víctimas, ejecutando transferencias fraudulentas de NFT a los monederos de los atacantes.

En estas circunstancias, cuando aceptan la solicitud de conectar sus monederos, las víctimas no suelen ser conscientes de que la conexión está estableciendo una función de llamada setApprovalForAll o similar a sus monederos, lo que permite a los atacantes emplear un mecanismo de aprobación dirigido a los tokens ERC-721, también conocidos como NFT.

Una vez comprometidos los monederos de las víctimas, los NFT de cada cuenta comprometida se movieron a un único monedero vinculado al enlace de phishing. En total, a partir de un único exploit, los atacantes adquirieron una cartera diversa de 18 valiosos proyectos de NFT, incluidos Bored Ape Yacht Club, Mutant Ape Yacht Club, OthersideMeta y MekaVerse.

Los movimientos de los NFT robados revelaron una red más amplia

La unidad de investigaciones internas de TRM utilizó TRM Forensics - una herramienta de investigación - para seguir el movimiento de los NFT robados de Yuga Labs a la cartera del estafador y luego a un mercado de NFT, donde se vendieron por ETH. La mayor parte de los ingresos de esas ventas se movieron a tres carteras diferentes antes de que el actor comenzara a moverlos a Tornado cash y a varias otras carteras intermediarias.

Uno de los tres monederos de consolidación, que envió una cantidad significativa de ingresos a Tornado Cash, también estaba conectado a monederos con exposición directa a otros compromisos de Discord que ocurrieron en mayo y junio de 2022.

Después de la desmezcla, los investigadores de TRM observaron a los hackers desembolsando los fondos robados entre varias cuentas de propiedad externa (EOA), servicios descentralizados, sitios web de juegos de azar y un mercado darknet a través del movimiento cross-chain, puenteando los fondos de Ethereum a Bitcoin. Una cantidad significativa de fondos se envió a un monedero alojado en un intercambio centralizado que también está vinculado a una serie de otras cuentas de Discord comprometidas, incluidos los hackeos de Discord Tasties, KaijuKingz, Bubbleworld y Parallel.

Se desconoce el número de grupos implicados

Aunque los recientes ataques examinados por TRM parecen estar relacionados, la velocidad a la que se están produciendo y propagando a través de múltiples blockchains sugiere que podrían ser esfuerzos coordinados separados por diferentes actores de amenazas que ejecutan estas estafas a gran escala. El ataque a múltiples blockchains -proyectos basados en Ethereum, así como otros en Solana en las últimas semanas- indica que muchos de estos ataques a cuentas de Discord están probablemente dirigidos por un grupo de hackers o como una oferta de estafa como servicio, un esquema en el que un actor de la amenaza proporciona las herramientas y servicios a otros para facilitar la ejecución de una estafa.

Al igual que con las estafas tradicionales, una vez que una comunidad de actores de amenazas u operadores de estafas como servicio comprenden los mecanismos básicos desde el engaño hasta la ejecución, la comunidad de actores ilícitos puede ampliar esa actividad reutilizando e iterando sobre servicios o prácticas. Es probable que esto esté ocurriendo aquí con una variedad de actores de amenazas que tienen como objetivo específico los servidores de Discord y los proyectos de NFT.

Cómo protegerse de las estafas NFT en Discord

Mientras los proyectos de NFT trabajan para reforzar la seguridad de sus plataformas y servidores y las fuerzas de seguridad y otros grupos trabajan para impedir que los atacantes lleven a cabo futuros exploits, las personas pueden y deben tomar medidas para protegerse. Ser consciente de los vectores de ataque más comunes, incluidas plataformas como Discord, y de las tácticas habituales de los actores de amenazas, incluidos los ataques de phishing que utilizan un lenguaje que induce a la FOMO, ayudará a mitigar el riesgo de convertirse en víctima de estas estafas.

Para más recursos: Surgewomen.io, una organización liderada por mujeres que educa y asegura el lugar de las mujeres en Web3 esbozó un rápido TDLR sobre cómo aumentar la seguridad de Discord y evitar ser estafado aquí.

Si ha sido víctima de una estafa o desea comprobar un proyecto NFT o una dirección criptográfica en busca de estafas denunciadas, visite Chainabuse.com.

‍

Acerca de TRM Labs

TRM ofrece Inteligencia en Blockchain para ayudar a las instituciones financieras, las empresas de criptomoneda y los organismos públicos a detectar, investigar y gestionar el fraude y los delitos financieros relacionados con las criptomonedas. La plataforma de gestión de riesgos de TRM incluye soluciones para la supervisión de transacciones y la detección de carteras, la puntuación de riesgos de entidades -incluida la diligencia debida de VASP- y el rastreo del origen y el destino de los fondos. Estas herramientas permiten a una cohorte cada vez mayor de organizaciones de todo el mundo adoptar con seguridad transacciones, productos y asociaciones relacionados con la criptomoneda.

El equipo de Investigaciones Globales de TRM lleva a cabo y apoya las investigaciones sobre criptomonedas para combatir las actividades ilícitas y fomentar la confianza en la criptoeconomía. Nuestros investigadores utilizan TRM Forensics para rastrear la procedencia de NFT, rastrear el flujo de activos robados y coordinarse con los socios policiales pertinentes.

‍