CityDAO

Immer mehr NFT-Hacks via Discord: Nun auch Gründer von "Blockchain City" betroffen

02.02.22 23:07 Uhr

Immer mehr NFT-Hacks via Discord: Nun auch Gründer von "Blockchain City" betroffen | finanzen.net

Mitte Januar wurde CityDAO Opfer eines erfolgreichen Hacker-Angriffs - umgerechnet mehr als 100.000 US-Dollar nahm der Hacker offenbar bereits in wenigen Stunden ein. Auch andere NFT-Plattformen wurden in den letzten Wochen über die Schwachstelle Discord angegriffen.

Werte in diesem Artikel
Devisen

85.887,3147 CHF -451,7914 CHF -0,52%

91.799,1239 EUR -478,0161 EUR -0,52%

79.071,2959 GBP -430,9704 GBP -0,54%

15.754.869,7556 JPY -51.078,3547 JPY -0,32%

107.810,8710 USD -492,0720 USD -0,45%

2.016,6655 CHF -10,4323 CHF -0,51%

2.155,4770 EUR -11,0360 EUR -0,51%

1.856,6229 GBP -9,9574 GBP -0,53%

369.930,0954 JPY -1.167,1345 JPY -0,31%

2.531,4386 USD -11,3334 USD -0,45%

0,0000 BTC 0,0000 BTC 0,55%

0,0005 ETH 0,0000 ETH 0,52%

0,0000 BTC 0,0000 BTC 0,49%

0,0005 ETH 0,0000 ETH 0,51%

0,0000 BTC 0,0000 BTC 0,53%

0,0005 ETH 0,0000 ETH 0,54%

0,0000 BTC 0,0000 BTC 5,79%

0,0000 ETH 0,0000 ETH 0,49%

0,0000 BTC 0,0000 BTC 0,49%

0,0004 ETH 0,0000 ETH 0,45%

• Innerhalb eines einzigen Tages entwendete der Hacker per Webhook der Community 29,67 ETH
• CityDAO ist nicht das erste Hacker-Opfer: Innerhalb eines Monats wurden auch Fractal und Monkey Kingdom angegriffen
• Schwachstelle: Discord arbeitet eigenen Angaben zufolge am Verschließen der Sicherheitslücken

Am 10. Januar dieses Jahres wurde die Krypto-Community CityDAO Opfer eines Hacker-Angriffs. Auf Twitter warnte die erst im Juli 2021 gegründete "Blockchain City" ihre Mitglieder davor, Transaktionen zu tätigen:

Wer­bung
Über 500+ Kryptos und 3.000 digitale Assets

Bitpanda ist der BaFin-lizenzierte Krypto-Broker aus Österreich und offizieller Krypto-Partner des FC Bayern München. Erstellen Sie Ihr Konto mit nur wenigen Klicks und profitieren Sie von 0% Ein- und Auszahlungsgebühren.

Allerdings war es da bereits zu spät: Ganze 29,67 ETH (zum Zeitpunkt des Hacks 100.000 US-Dollar wert) habe der Hacker der Informationsplattform VICE zufolge innerhalb nur eines Tages stehlen können, den Großteil davon bereits in der ersten Stunde. Auch in den folgenden Tagen habe er noch ETH einsammeln und verstecken können.

Die Vorgehensweise des Hackers: ein Webhook-Angriff über Discord

Umgesetzt wurde der Hack über den Discord-Nutzer Lyons800, der offenbar Moderator des CityDAO-Discord-Channels und Mitgründer der "Blockchain City" ist. Lyons800 bestätigte dies über Twitter und erklärte ebenso wie der von CityDAO auf Twitter verlinkte User Little Lemon Friends, wie der Angriff auf ihn und infolgedessen die gesamte CityDAO-Community durchgeführt werden konnte.

Zunächst habe sich der Hacker ein Mitglied (Lyons800) des Discord-Channels von CityDAO ausgesucht und sei dann einem zweiten Channel beigetreten, in dem Lyons800 ebenfalls Mitglied ist. Diesen anderen Channel habe der Hacker mittels falscher Informationen dazu gebracht, Lyons800 zu sperren, anschließend sei er unter dem Vorwand der Aufhebung der Sperrung mit Lyons800 in Kontakt getreten. In einem gemeinsamen Call habe er sein Opfer darum gebeten, seinen Bildschirm zu teilen und per ctrl+shift+i ein "Inspektionselement" zu öffnen. Über dieses Element erhielt er offenbar Zugriff auf den gesamten Discord-Account des CityDAO-Gründers und konnte im Rahmen eines sogenannten Webhook-Angriffs eine falsche Ankündigung über Kaufmöglichkeiten an die anderen Mitglieder der Community senden.

CityDAO ist nicht das erste Opfer: Discord offenbar Schwachstelle der NFT-Communities

Dabei handelt es sich um den dritten großen Hack via Discord innerhalb eines Monats: Am 21. Dezember vergangenen Jahres wurden auch die Plattformen Fractal (umgerechnet rund 150.000 US-Dollar Verlust, die Betroffenen sollen aber nach Angaben des Unternehmens ihr Geld erstattet bekommen) und Monkey Kingdom von Hackern angegriffen. Den Mitgliedern der Monkey Kingdom-Community wurden The Verge zufolge dabei insgesamt rund 1,3 Millionen US-Dollar entwendet. Bereits im Oktober hatte ein 17-jähriger Hacker nach Angaben von VICE den Mitgliedern der CreatureToadz-Community via Discord insgesamt 88 ETH abgenommen.

Peter Day, Senior Manager of Corporate Communications bei Discord, wurde zu dem Thema Anfang Januar von The Verge wie folgt zitiert: "Discord nimmt die Sicherheit aller Nutzer und Communities sehr ernst, was auch solche Social-Engineering-Angriffe einschließt. Obwohl es bereits klare Kontrollen gibt, werden wir immer weiter daran arbeiten, diese Angriffe zu erschweren und auch weiterhin in die Aufklärung und Tools zum Schutz unserer User investieren."

Olga Rogler / Redaktion finanzen.net

In eigener Sache

Übrigens: US-Aktien sind bei finanzen.net ZERO sogar bis 23 Uhr handelbar (ohne Ordergebühren, zzgl. Spreads). Jetzt kostenlos Depot eröffnen und als Geschenk eine Gratisaktie erhalten.

Bildquellen: Phongphan / Shutterstock.com, wael alreweie / Shutterstock.com

Nachrichten zu Discord

Wer­bung