L'analyse des récents piratages de NFT Discord montre que certaines attaques sont liées entre elles 

Discord, la plateforme de médias sociaux largement utilisée par les projets populaires de jetons non fongibles (NFT), a été la cible de pirates informatiques au cours des trois derniers mois, avec une fréquence croissante. En juin 2022, les attaques de phishing liées à des escroqueries de frappe de NFT déployées par l'intermédiaire de comptes Discord compromis ont augmenté de 55 % par rapport au mois précédent.

• Plus de 100 rapports de piratage de canaux Discord ont été déposés au cours des deux derniers mois sur Chainabuse, une plateforme communautaire de signalement d'escroquerie gérée par TRM Labs.
• La communauté NFT a perdu environ 22 millions de dollars depuis mai 2022, selon une analyse de TRM Labs.

Au moins dix compromissions de comptes ciblant les canaux Discord de la NFT ont eu lieu le 4 juin. Certains projets, comme BAYC, ont également été piratés à deux reprises.

Les pirates de Discord utilisent des méthodes similaires

L'analyse des données on-chain et off-chain suggère que de nombreuses compromissions de Discord ciblant des projets NFT présentent des schémas de comportement similaires, les pirates utilisant une série de tactiques pour escroquerie utilisateurs de Discord, notamment :

• Utilisation d'une ingénierie sociale sophistiquée, telle que le phishing et les comptes frauduleux se faisant passer pour un administrateur.
• Exploiter les vulnérabilités des robots, comme le robot Mee6, qui permet aux administrateurs d'attribuer et de supprimer automatiquement des rôles et d'envoyer des messages à la communauté.
• Dans certains cas, les attaquants ont même mis à jour les paramètres de l'administrateur pour interdire aux modérateurs de Discord d'interférer avec les opérations des pirates.

Les messages des pirates à l'intention des utilisateurs tentent régulièrement d'exploiter le sentiment d'urgence généralement associé aux événements de frappe de monnaie en NFT, en incitant les utilisateurs à agir rapidement pour ne pas manquer un cadeau gratuit ou un inventaire limité.

L'exemple ci-dessous montre comment les escrocs tentent d'inciter les membres du canal Discord à cliquer sur des liens de toute urgence, les deux étant finalement signalés comme étant malveillants.

Les données en chaîne suggèrent que certains piratages de discorde sont liés

Un examen de plus de 15 compromissions notables sur Discord ciblant les serveurs de la NFT et l'analyse des données sur la chaîne et hors chaîne par les enquêteurs de TRM suggèrent que des dizaines de ces récentes compromissions de comptes sont probablement liées. Certains des compromis liés incluent des comptes de projets NFT Discord bien connus tels que BAYC, Bubbleworld, Parallel, Lacoste, Tasties, Anata, et une douzaine d'autres.

L'un des exploits du projet NFT qui pourrait être lié à d'autres piratages est celui de Yuga Labs, créateur de la collection emblématique Bored Ape Yacht Club (BAYC). Les serveurs Discord de Yuga Labs ont été piratés le 4 juin lorsque BorisVagner.ETH, Social Manager chez Yuga Labs, a vu son compte Discord vérifié compromis. Alors qu'il contrôlait le compte vérifié, le pirate a commencé à poster du matériel promotionnel à la communauté Discord du compte.

Les pirates ont délibérément ciblé les utilisateurs qui détenaient déjà des NFT de grande valeur, en annonçant un "BAYC, MAYC, and Otherside EXCLUSIVE Giveaway", et en fournissant un lien frauduleux qui invitait les utilisateurs à envoyer des frais de frappe de monnaie en ETH.

Les acheteurs potentiels ont commencé à mordre vers 8h15 EST, en cliquant sur le lien frauduleux et en prenant des mesures pour connecter leurs portefeuilles afin d'envoyer les frais de frappe requis en ETH. Au lieu de cela, l'ETH a été directement envoyé à l'adresse du fraudeur, et les transactions ont compromis les portefeuilles des victimes, exécutant des transferts frauduleux de NFT vers les portefeuilles des attaquants.

Dans ces circonstances, lorsqu'elles acceptent l'invitation à connecter leurs portefeuilles, les victimes ne savent généralement pas que la connexion établit une fonction setApprovalForAll ou une fonction d'appel similaire vers leurs portefeuilles, ce qui permet aux attaquants d'utiliser un mécanisme d'approbation ciblant les jetons ERC-721, également connus sous le nom de "NFT".

Une fois les portefeuilles des victimes compromis, les NFT de chaque compte compromis ont été transférés dans un seul portefeuille lié au lien d'hameçonnage. Au total, à partir d'un seul exploit, les attaquants ont acquis un portefeuille diversifié de 18 projets NFT de valeur, dont Bored Ape Yacht Club, Mutant Ape Yacht Club, OthersideMeta et MekaVerse.

Les mouvements de NFT volés par les pirates ont révélé un réseau plus vaste

L'unité d'enquête interne de TRM a fait appel à TRM Forensics - un outil d'investigation - pour suivre le mouvement des NFT volés de Yuga Labs vers le portefeuille de l'escroc, puis vers une place de marché de NFT, où ils ont été vendus pour de l'ETH. La majeure partie du produit de ces ventes a été transférée dans trois portefeuilles différents avant que l'acteur ne commence à les transférer dans Tornado cash et dans divers autres portefeuilles intermédiaires.

L'un des trois portefeuilles de consolidation, qui a envoyé un montant important à Tornado Cash, était également connecté à des portefeuilles directement exposés à d'autres compromissions de Discord qui ont eu lieu en mai et juin 2022.

Après le mixeur, les enquêteurs de TRM ont observé les pirates distribuer les fonds volés entre plusieurs comptes externes (Externally-Owned Accounts - EOA), des services décentralisés, des sites de jeu et un marché du darknet via un mouvement de chaîne croisée, en faisant le pont entre les fonds d'Ethereum et de Bitcoin. Un montant important de fonds a été envoyé à un portefeuille hébergé sur un échange centralisé qui est également lié à un certain nombre d'autres compromissions de comptes Discord, y compris les hacks Discord de Tasties, KaijuKingz, Bubbleworld et Parallel.

Le nombre de groupes impliqués reste inconnu

Bien que les récentes compromissions examinées par TRM semblent être liées, la vitesse à laquelle ces compromissions se produisent et se propagent sur plusieurs blockchains suggère qu'il pourrait s'agir d'efforts distincts coordonnés par différents acteurs de la menace qui gèrent ces escroqueries à grande échelle. Le ciblage de plusieurs blockchains - les projets basés sur Ethereum ainsi que ceux sur Solana au cours des dernières semaines - indique que bon nombre de ces compromissions de comptes Discord sont probablement gérées par un groupe de pirates ou comme une offre d'escroquerie, un schéma dans lequel un acteur de la menace fournit les outils et les services à d'autres pour faciliter l'exécution d'une escroquerie.

Comme pour les escroqueries traditionnelles, une fois qu'une communauté d'acteurs de la menace ou d'opérateurs de l'escroquerie comprend les mécanismes de base, de la tromperie à l'exécution, la communauté d'acteurs illicites peut étendre cette activité en réutilisant et en itérant sur les services ou les pratiques. C'est probablement ce qui se passe ici avec une variété d'acteurs de la menace ciblant spécifiquement les serveurs Discord et les projets NFT.

Comment les particuliers peuvent-ils se protéger contre les escroqueries du NFT sur Discord ?

Alors que les projets NFT s'efforcent de renforcer la sécurité de leurs plateformes et serveurs et que les forces de l'ordre et d'autres groupes s'efforcent d'empêcher les attaquants de réaliser des exploits futurs, les particuliers peuvent et doivent prendre des mesures pour se protéger. Connaître les vecteurs d'attaque courants, y compris les plateformes comme Discord, et les tactiques courantes des acteurs de la menace, y compris les attaques par hameçonnage qui utilisent un langage induisant le FOMO, permettra d'atténuer le risque d'être victime de ces escroqueries.

Pour plus de ressources : Surgewomen.io, une organisation dirigée par des femmes qui éduque et sécurise la place des femmes dans le Web3 a présenté un TDLR rapide sur la façon de renforcer la sécurité de Discord et d'éviter de se faire arnaquer ici.

Si vous avez été victime d'une escroquerie ou si vous souhaitez vérifier si un projet NFT ou une adresse cryptographique a fait l'objet d'un signalement, visitez le site Chainabuse.com.

‍

A propos de TRM Labs

TRM propose le site blockchain intelligence pour aider les institutions financières, les entreprises de crypto-monnaies et les organismes publics à détecter, enquêter et gérer la fraude et la criminalité financière liées aux crypto-monnaies. La plateforme de gestion des risques de TRM comprend des solutions pour la surveillance des transactions et le filtrage des portefeuilles, l'évaluation des risques des entités - y compris la diligence raisonnable VASP - et la traçabilité de la source et de la destination des fonds. Ces outils permettent à un nombre croissant d'organisations dans le monde entier d'adopter en toute sécurité les transactions, produits et partenariats liés aux crypto-monnaies.

L'équipe Global Investigations de TRM mène et soutient des enquêtes sur les crypto-monnaies afin de lutter contre les activités illicites et de renforcer la confiance dans l'économie des crypto-monnaies. Nos enquêteurs utilisent TRM Forensics pour retracer la provenance des NFT, retracer les flux d'actifs volés et coordonner l'action avec les partenaires compétents en matière d'application de la loi.

‍