76 кошельков, были эксплотированы дрэйнером на Coinmarketcap
Позже тем вечером CMC объяснил, что уязвимость в «изображении Doodle» на своей домашней странице «содержала ссылку, которая вызвала вредоносный код через вызов API, что привело к неожиданному всплывающему окне для некоторых пользователей»
Недостаток безопасности на веб-сайте Coinmarketcap позволил злоумышленнику ненадолго добавить злонамеренное всплывающее окно на домашнюю страницу, в результате чего жертвы потеряли тысячи долларов.
Команда Metamask предупредила пользователей в пятницу вечером от подключения своих кошельков к веб-сайту Coinmarketcap, потому что фронт Tracker Tracker был скомпрометирован, чтобы подтолкнуть мошенничество с дрендером кошелька.
Примерно через час Coinmarketcap подтвердил, что посетители его сайта не должны подключать свои кошельки, когда его подсказывают.
Позже тем вечером CMC объяснил, что уязвимость в «изображении Doodle» на своей домашней странице «содержала ссылку, которая вызвала вредоносный код через вызов API, что привело к неожиданному всплывающему окне для некоторых пользователей».
Компания Crypto Cybersecurity Security заявила, что смогла воссоздать уязвимость JavaScript в инъекциях, которая облегчила атаку дрендеров CMC Wallet через эксплойт в файлах JSON Animation Lottie.
Три эксперта по кибербезопасности из других фирм отдельно подтвердили мне на выходные, что оценка инцидента Coinspect является точной.
Трей Блалок, основатель фирмы по кибербезопасности Verification Labs, сказал мне, что он смог получить копии исходного кода CoinmarketCap, используя машину Wayback в Интернете для изучения инцидента.
«Что сразу заметно, так это тяжелое использование масштабируемых векторных графических изображений (.SVG)», - сказал Блалок на сайте CMC. «SVG-это отличный формат для создания эффективных веб-сайтов, которые отлично смотрятся в различных размерах дисплея, но недавние уязвимости безопасности позволили злоумышленникам внедрить теги сценария HTML в изображения SVG, которые содержат URL-адреса на веб-сайт, контролируемый злоумышленником, что позволяет им выполнить Cross-Site» инъекцию.
