黑客瞄准 Discord，知名 NFT 频道接连遭遇攻击

编译/章鱼哥

黑客升级网络钓鱼和诈骗攻击方式，利用流行的Discord机器人，欺骗用户点击恶意链接。

Discord是一款专为游戏玩家设计的公共聊天应用程序，已在全球加密货币所有者中流行起来，攻击者瞄准了许多知名NFT项目的Discord服务器。

Origin协议创始人Josh Fraser本月早些时候在Twitter上分享了一个帖子，揭示了Discord存在的问题。

根据Fraser的说法，Discord API泄露了每台服务器上每个私人频道的名称、描述、成员列表和活动数据。由于有许多备受瞩目的加密项目使用Discord，这些信息泄露可能会泄露尚未宣布的合作关系、即将推出的产品、交易所列表以及控制钱包交易的多签者。

区块链安全公司PeckShield此前曾警告用户Memeland、RTFKT、PROOF/Moonbirds和基础设施公司Cyberconnect的NFT Discord遭到攻击破坏。

Cyberconnect和Memeland在他们的推特上证实了黑客攻击，并警告用户避免点击Discord上的任何链接。

Memeland的一名团队成员指出，Discord bot (Mee6) 似乎在多个知名服务器上受到攻击。

Discord最常用的Mee6机器人被黑后导致多个NFT项目遭到攻击。Mee6是一个非常流行的Discord机器人，它可以自动执行多种功能：一些基本的审核、发送管理员消息、播放音乐等等。它被全球约1600万个Discord服务器使用。像Mee6这样的自动化 Discord机器人是主要的安全隐患，它们的消息通常受到社区用户的信任。如果Discord机器人遭到入侵并且攻击消息设计得足够好，整个Discord的用户将被钓鱼，下载恶意软件或支付某些欺诈骗局。

由于有许多备受瞩目的加密项目使用Discord，这种信息泄露可能会揭示“尚未宣布的合作伙伴关系、即将推出的产品、交易所列表以及协调多重签名者”。

被入侵的Discord机器人可能会造成毁灭性的后果，黑客可以发布一个伪装成自动机器人的恶意链接并引诱用户打开它，一次错误的点击可能会对个人资产造成不可逆转的损害，并劫持的Discord服务器可以对大量用户构成威胁。

最近几个月，针对NFT Discord频道的一连串攻击仍在继续。6月5号BAYC Discord再次遭攻击，价值约200 ETH的NFT被盗，在此之前BAYC的Discord服务器已遭受过攻击，BAYC联合创始人Gordon Goner在个人社交媒体上发文称，Discord不适用于Web3社区。我们需要一个更好的，将安全放在首位的平台。

除此之外Nyoki、Shamanz、Doodles和Kaiju Kingz的Discord在4月遭到入侵，OpenSea 的Discordzhan账户在5月也遭到过黑客攻击。

尽管目前NFT市场有所降温，但对其的攻击却不断增加。人们对漏洞开放的疏忽和黑客对钱包持有人的创造性钓鱼，使其成为网络犯罪的最热门领域之一。

几乎每个加密项目的Discord服务器都充满了虚假账户，向服务器中的用户发送带有网络钓鱼链接的私聊信息。如果你没有将Discord账户设置为仅接收来自联系人的私聊，收到私聊不会有警告弹出，告诉你信息来自你不认识的人并存在相关风险。

除了利用Discord自带的功能外， Discord诈骗通常还涉及“投资心理学”。在针对BAYC服务器的黑客事件中，黑客接管了管理员账户，并在YouTube上发布了一个假的NFT空投链接，欺骗渴望提前进入新系列的投资者放弃对其钱包的控制。

区块链安全公司Immunefi首席执行官Mitchell Amador表示，针对Discord频道和频道内用户的黑客正在变得非常有组织，这是Discord还没有准备好应对的事情。

Discord在建立时并没有考虑到安全通信，也没有考虑到彻底的隐私。归根结底在于Discord并不是作为加密货币或NFT项目的交流平台而设计的。尽管如此，Discord仍然可以做出很多改进，以安抚加密世界。

加密货币或NFT潜在攻击链中的任何人都必须像政府机构一样受到高度安全的保护。加密货币和NFT与游戏是不同的，对攻击者极具吸引力，当攻击者发现加密货币或NFT的漏洞时，几乎总是直接导致价值盗窃，而受害者基本无法挽回损失。区块链的去中心化是双向的，有时它并不站在好人一边。

可以肯定的是，如果Discord还不做出改变，加密世界的用户最终会从Discord转移到其他地方。

（编者注：本文部分内容编译自cpomagazine、threatpost、securitymagazine、vice，仅为观点分享，不构成任何投资建议。）