去中心化交易聚合器 1inch 的網站與使用相同前端庫 Lottie Player 的多個其他平台一起被攻破。
去中心化交易聚合器 1inch 的網站以及使用相同前端庫 Lottie Player 的多個其他平台已被攻破。
用戶在與這些平台互動後報告其錢包上存在可疑活動後，發現了該漏洞。經調查，發現惡意程式碼被注入到 Lottie Player 中，Lottie Player 是多個 dApp 和非加密網站廣泛使用的動畫庫。
截至目前，尚未有用戶錢包被洩漏的報道。不過，在問題完全解決之前，請不要與 1inch 使用者進行任何互動。
根據X（原Twitter）上的多篇帖子，目前已確認1inch和TEN Finance是此次攻擊的受害者。然而，這個數字可能要高得多，因為該漏洞針對的是 Lottie Player 2.0.5 及更高版本。
據報道，駭客已將惡意程式碼注入到使用這些版本的網站的前端 JSON 檔案中。該程式碼現在使受感染的網站能夠執行未經授權的交易，對使用者的資產和資料構成嚴重威脅。
來自 Blockaid 的報告表明，這次攻擊是透過 Lottie Player 的內容伺服器受到損害而引入的，其中使用了惡意 npm 套件來分發更改後的程式碼。 Blockaid 和其他安全公司已確認在包中註入了未經授權的腳本。
“合法網站（也包括非加密網站）現在正在提供惡意內容，包括反調試規避代碼。@LottieFiles，看起來攻擊者已經成功推送了您的軟體包的惡意版本，並且現在正在上傳另一個版本。
截至撰寫本文時，1inch 尚未就此次洩漏事件發布任何官方聲明。然而，Lottie Player 團隊已確認他們能夠確定違規原因，並正在努力刪除受影響的版本。
強烈建議用戶避免連接錢包或與受影響的平台交互，直到安全問題完全解決。
以上是1inch 網站遭到入侵，使用者請勿進行任何互動的詳細內容。更多資訊請關注PHP中文網其他相關文章！
