月曜日のredditよるEtherscanの公式発表によればブロックエクスプローラのウェブサイトに"1337"のテキストを含むランダムなJavaScriptアラートがポップアップしていたハッカー(またはハッカー)がサードパーティのコメントホスティングサービスであるDisqusが提供する要約されたコメントセクションにアラートを注入しました。Etherscanは以下のような嫌なコメントを見つけました:

Etherscan

同組織は、ポップアップアラートの出現の他に、システムが侵害されていないと述べた。不審な動作に関するユーザーレポート受信した直後に、EtherscanはDisqusのコメントセクションを無効にし、将来の攻撃を防ぐためにフッターコメントをエンコードするためのパッチをテストしました。ブロックエクスプローラは、トップのコメントセクションにある "エスケープされていないJavaScriptの悪用"に対処 するためのパッチも適用しています。

さらに調査したところ、Etherscanは "1337"アラートを3回注入しようとしていることを発見しました。最初の試みは本質的に非悪意のあると思われたが、以下の2つの試みはEtherscanに関連する当事者から始まったと述べた。さらに、Web3JavaScript アプリケーションプログラミングインターフェイスAPIを挿入しようとしましたが、これはブロックエクスプローラのバックエンドによって中止されました。

Etherscanは、コメントがエンコードされているが、API はそうではないと主張して、Disqusについての不安、不確実性、疑惑を解消するために続けました

ファンドが安全かどうか尋ねられたEtherscanは、「はい、資金は安全です。Disqusの開発者は、 "raw_message"ではなく "message"というフレーズをコードで使用すべきであると提案しました。ブロックエクスプローラの管理者は、「提案を実装する」と述べた。

しかし、別のredditorは、この攻撃は潜在的により悪意のあるものの前駆体であり、

「侵入テストでは、しばしばエラーや破壊行為のように見える小さなテストを行いますが、まだフレームに穴を開けることができます。その穴の1つは、ポップアップを作成するだけのものよりもはるかに重要です。

この洞察に基づいて、注入されたコードは、ユーザーの秘密を取得するようなフィッシング詐欺の初期の試みであった可能性があります

参考資料:https://www.ethnews.com/ethereums-etherscan-combats-hacking-attempt 

●無料でLINE@で有益情報を随時流しています。
https://line.me/R/ti/p/%40gtu0961z 
興味ある方は登録してください。


■yobit net

https://yobit.net/en/

●XRPブログ作者に募金

◆tag 2118364701
◆アドレス rPVMhWBsfF9iMXYj3aAzJVkPDTFNSyWdKy



人気ブログランキング