大手NFTコミュニティのDiscordサーバーがBOT経由でハッキングされたと判明

サルのアイコンを非代替性トークン(NFT)で提供するコレクションコミュニティ「Bored Ape Yacht Club(BAYC)」が2022年4月1日に、BAYC公式のDiscordサーバーがハッキングされ、フィッシング攻撃を狙った悪意のあるリンクが投稿されたと発表しました。また、他のNFTコミュニティのDiscordサーバーでも同様のリンクが投稿されていることが判明しています。

BAYC Says Discord Briefly Compromised, Tells Users to Avoid Discord for Minting APE NFTs
https://www.coindesk.com/tech/2022/04/01/bayc-says-discord-briefly-compromised-tells-users-to-avoid-discord-for-minting-ape-nfts/

Bored Ape Yacht Club, Other Major NFT Project Discords Hacked by Scammers
https://www.vice.com/en/article/n7nywg/bored-ape-yacht-club-other-major-nft-project-discords-hacked-by-scammers

セキュリティ研究者のSerpent氏によれば、BAYCのDiscordサーバーに「エイプリルフール限定NFTの作成」を促すリンクが貼られたとのこと。このリンクをクリックすると、ユーザーのNFTやウォレット情報を盗む不正なスクリプトにアクセスする可能性があるとSerpent氏は述べています。

すでにBAYCのNFTや仮想通貨が盗まれたという報告もあり、被害に遭ったウォレットから約20ETHのイーサリアムが移動したことが確認されています。

Serpent氏は、プッシュ通知や問い合わせ対応を管理するDiscord用BOT「Ticket Tool」がハッキングされたことでフィッシング攻撃が行われたと主張。これに対してTicket Toolの公式Twitterアカウントは、「最近行ったaddコマンドのアップデートで、ある種のアクセス許可の悪用を可能にするバグがありました。アップデートを以前のバージョンに戻し、どうしてこのようなことが起こったのか正確に調べるつもりです。BOT自体は、非常に残念なバグを抱えているものの、危険にさらされることはありません」とコメントしています。

BAYCの公式Twitterアカウントは、「気を付けてください。今はDiscordからNFTを新たに作成・発行しないでください。我々のDiscordのWebhookが一時的に侵害されました。すぐに状況を把握しましたが、エイプリルフールネタとしてNFTの作成や配布は行っていないのでご注意ください。他のDiscordも攻撃を受けています」とツイートしました。

また、Doodles、Shamanzs、Nyokiなど、同様にTicket Toolを使うNFTコミュニティのDiscordチャンネルでもフィッシング攻撃用メッセージの投稿が確認されたとのこと。

この影響で、BAYCのトークンである仮想通貨「ApeCoin」の価格は24時間で8.3％の下落を見せました。