Immer mehr NFT-Hacks via Discord: Nun auch Gründer von "Blockchain City" betroffen

• Innerhalb eines einzigen Tages entwendete der Hacker per Webhook der Community 29,67 ETH
• CityDAO ist nicht das erste Hacker-Opfer: Innerhalb eines Monats wurden auch Fractal und Monkey Kingdom angegriffen
• Schwachstelle: Discord arbeitet eigenen Angaben zufolge am Verschließen der Sicherheitslücken

Am 10. Januar dieses Jahres wurde die Krypto-Community CityDAO Opfer eines Hacker-Angriffs. Auf Twitter warnte die erst im Juli 2021 gegründete "Blockchain City" ihre Mitglieder davor, Transaktionen zu tätigen:

EMERGENCY NOTICE. A CityDAO Discord admin account has been hacked. THERE IS NO LAND DROP. DO NOT CONNECT YOUR WALLET.

- CityDAO (@CityDAO) January 10, 2022

Allerdings war es da bereits zu spät: Ganze 29,67 ETH (zum Zeitpunkt des Hacks 100.000 US-Dollar wert) habe der Hacker der Informationsplattform VICE zufolge innerhalb nur eines Tages stehlen können, den Großteil davon bereits in der ersten Stunde. Auch in den folgenden Tagen habe er noch ETH einsammeln und verstecken können.

Die Vorgehensweise des Hackers: ein Webhook-Angriff über Discord

Umgesetzt wurde der Hack über den Discord-Nutzer Lyons800, der offenbar Moderator des CityDAO-Discord-Channels und Mitgründer der "Blockchain City" ist. Lyons800 bestätigte dies über Twitter und erklärte ebenso wie der von CityDAO auf Twitter verlinkte User Little Lemon Friends, wie der Angriff auf ihn und infolgedessen die gesamte CityDAO-Community durchgeführt werden konnte.

Zunächst habe sich der Hacker ein Mitglied (Lyons800) des Discord-Channels von CityDAO ausgesucht und sei dann einem zweiten Channel beigetreten, in dem Lyons800 ebenfalls Mitglied ist. Diesen anderen Channel habe der Hacker mittels falscher Informationen dazu gebracht, Lyons800 zu sperren, anschließend sei er unter dem Vorwand der Aufhebung der Sperrung mit Lyons800 in Kontakt getreten. In einem gemeinsamen Call habe er sein Opfer darum gebeten, seinen Bildschirm zu teilen und per ctrl+shift+i ein "Inspektionselement" zu öffnen. Über dieses Element erhielt er offenbar Zugriff auf den gesamten Discord-Account des CityDAO-Gründers und konnte im Rahmen eines sogenannten Webhook-Angriffs eine falsche Ankündigung über Kaufmöglichkeiten an die anderen Mitglieder der Community senden.

1. A scammer first chooses one of your team members (the target).

2. Scammer goes into another discord server that the target is in.

3. Scammer tricks the other discord to ban the target by impersonating the target, pretending to scam community members for the other discord.

- Little Lemon Friends (@LittlelemonsNFT) January 3, 2022

4. After seeing the target has been banned from the other discord, scammer then impersonates as a mod from that discord & reaches out to the target via dms.

- Little Lemon Friends (@LittlelemonsNFT) January 3, 2022

5. Scammer asks the target to prove innocence.

Since the target sees that he/she was indeed banned from the other discord, leads target to believe that the scammer is a real mod.

- Little Lemon Friends (@LittlelemonsNFT) January 3, 2022

6. Scammer does some social engineering such as fake photoshopped discussions with other discord's team members about target's ban.

- Little Lemon Friends (@LittlelemonsNFT) January 3, 2022

7. Scammer gets on a discord call with target. Eventually gets target to screen share. Tells target to open inspect element by pressing ctrl+shift+i.

Inspct element has a discord token that scammer can use to take full control of target's disc account. ^BYPASSES 2FA + passwords

- Little Lemon Friends (@LittlelemonsNFT) January 3, 2022

CityDAO ist nicht das erste Opfer: Discord offenbar Schwachstelle der NFT-Communities

Dabei handelt es sich um den dritten großen Hack via Discord innerhalb eines Monats: Am 21. Dezember vergangenen Jahres wurden auch die Plattformen Fractal (umgerechnet rund 150.000 US-Dollar Verlust, die Betroffenen sollen aber nach Angaben des Unternehmens ihr Geld erstattet bekommen) und Monkey Kingdom von Hackern angegriffen. Den Mitgliedern der Monkey Kingdom-Community wurden The Verge zufolge dabei insgesamt rund 1,3 Millionen US-Dollar entwendet. Bereits im Oktober hatte ein 17-jähriger Hacker nach Angaben von VICE den Mitgliedern der CreatureToadz-Community via Discord insgesamt 88 ETH abgenommen.

Peter Day, Senior Manager of Corporate Communications bei Discord, wurde zu dem Thema Anfang Januar von The Verge wie folgt zitiert: "Discord nimmt die Sicherheit aller Nutzer und Communities sehr ernst, was auch solche Social-Engineering-Angriffe einschließt. Obwohl es bereits klare Kontrollen gibt, werden wir immer weiter daran arbeiten, diese Angriffe zu erschweren und auch weiterhin in die Aufklärung und Tools zum Schutz unserer User investieren."

Olga Rogler / Redaktion finanzen.net