背景
区块链的世界遵循黑暗森林法则，在这个世界我们随时可能遭受到来自不明的外部攻击，作为普通用户不进行作恶，但是了解黑客的作恶的方式是十分必要的。
慢雾安全团队此前发布了区块链黑暗森林自救手册
（https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook），其中提到了不少关于针对 NFT 项目方的 Discord 进行攻击的手法，为了帮助读者对相关钓鱼方式有更清晰的认知，本文将揭露其中一种钓鱼方法，即通过恶意的书签来盗取项目方 Discord 账号的 Token，用来发布虚假信息等诱导用户访问钓鱼网站，从而盗取用户的数字资产。
钓鱼事件
先来回顾一起 Discord 钓鱼事件：2022 年 3 月 14 日，一则推特称 NFT 项目 Wizard Pass 的 Discord 社区被者入侵，目前已造成 BAYC、Doodles、Clone X 等 NFT 被盗，详情如下：
慢雾：NimbusPlatform遭遇闪电贷攻击，损失278枚BNB:据慢雾安全团队情报，2022 年 12 月 14 日， BSC 链上的NimbusPlatform项目遭到攻击，攻击者获利约278枚BNB。慢雾安全团队以简讯的形式分享如下：
1. 攻击者首先在 8 天前执行了一笔交易（0x7d2d8d），把 20 枚 BNB 换成 NBU_WBNB 再换成 GNIMB 代币，然后把 GNIMB 代币转入 Staking 合约作质押，为攻击作准备；
2. 在 8 天后正式发起攻击交易（0x42f56d3），首先通过闪电贷借出 75477 枚 BNB 并换成 NBU_WBNB，然后再用这些 NBU_WBNB 代币将池子里的绝大部分 NIMB 代币兑换出；
3. 接着调用 Staking 合约的 getReward 函数进行奖励的提取，奖励的计算是和 rate 的值正相关的，而 rate 的值则取决于池子中 NIMB 代币和 GNIMB 代币的价格，由于 NIMB 代币的价格是根据上一步闪电贷中被操控的池子中的代币数量来计算的，导致其由于闪电贷兑换出大量的代币而变高，最后计算的奖励也会更多；
4. 攻击者最后将最后获得的 GNIMB 代币和拥有的 NIMB 代币换成 NBU_WBNB 代币后再换成 BNB，归还闪电贷获利；
此次攻击的主要原因在于计算奖励的时候仅取决于池子中的代币数量导致被闪电贷操控，从而获取比预期更多的奖励。慢雾安全团队建议在进行代币奖计算时应确保价格来源的安全性。[2022/12/14 21:44:29]
（来源：https://twitter.com/SerpentAU/status/1503232270219431941）
慢雾：BXH 第一次被盗资金再次转移，BTC 网络余额超 2700 BTC:金色财经报道，10月8日凌晨（UTC+8），慢雾监控到 BXH 第一次被盗资金再次出现异动，经慢雾 MistTrack 分析，异动详情如下：
黑客地址 0x48c9...7d79 将部分资金（213.77 BTCB，5 BNB 和 1 ETH）转移至新地址 0xc01f...2aef，接着将资金兑换为 renBTC 跨链到 BTC 网络，跨链后地址为 1JwQ...u9oU。1JwQ...u9oU 在此次转移中接收到的总资金为 204.12 BTC。截止目前，BXH 第一次被盗事件在 BTC 网络共有 4 个黑客地址，总计余额为 2701.3 BTC，暂未进一步转移。慢雾 MistTrack 将持续监控被盗资金的转移。[2022/10/8 12:49:28]
牵出其中一个解读：
（来源：https://twitter.com/sentinelwtf/status/1496293768542429187）
慢雾：Nomad事件中仍有超过9500万美元被盗资金留在3个地址中:8月2日消息，慢雾监测显示，Nomad攻击事件中仍有超过9500万美元的被盗资金留在3个地址中。其中0xB5C55f76f90Cc528B2609109Ca14d8d84593590E中仍有1084枚ETH、120万枚DAI、103枚WBTC等约800万美元的加密资产，该地址也负责将1万枚WETH转移到另一地址以及将其他USDC转移；第二个地址0x56D8B635A7C88Fd1104D23d632AF40c1C3Aac4e3目前仍有1.28万枚ETH、1.02万枚WETH、80万DAI等约4700万美元的加密资产；第三个地址0xBF293D5138a2a1BA407B43672643434C43827179在收到3866.6万USDC后兑换为了DAI，目前有约3970万美元的加密资产。
目前慢雾经过梳理后，无法将地址3与其他两个地址连接起来，但这些攻击具有相同的模式。[2022/8/2 2:53:04]
该解读里说的 bookmark 就是浏览器书签，这个书签里的内容可以是一段 JavaScript 恶意代码，当 Discord 用户点击时，恶意 JavaScript 代码就会在用户所在的 Discord 域内执行，盗取 Discord Token，攻击者获得项目方的 Discord Token 后就可以直接自动化接管项目方的 Discord 账户相关权限。
慢雾：Lendf.Me攻击者刚归还了126,014枚PAX:慢雾安全团队从链上数据监测到，Lendf.Me攻击者(0xa9bf70a420d364e923c74448d9d817d3f2a77822)刚向Lendf.Me平台admin账户(0xa6a6783828ab3e4a9db54302bc01c4ca73f17efb)转账126,014枚PAX，并附言\"Better future\"。随后Lendf.Me平台admin账户通过memo回复攻击者并带上联系邮箱。此外，Lendf.Me攻击者钱包地址收到一些受害用户通过memo求助。[2020/4/20]
背景知识
要理解该事件需要读者有一定的背景知识，现在的浏览器都有自带的书签管理器，在提供便利的同时却也容易被攻击者利用。通过精心构造恶意的钓鱼页面可以让你收藏的书签中插入一段 JavaScript 代码，当受害者点击书签时会以当前浏览器标签页的域进行执行。
以上图为例，受害者打开了 discord.com 官网，并在这个页面点击了之前收藏的恶意的书签“Hello,World!” 从而执行了一个弹窗语句，可以发现执行的源显示的是 discord.com。
声音 | 慢雾：Ghostscript存在多个漏洞:据慢雾区消息，Google Project Zero发布Ghostscript多个漏洞预警，远端攻击者可利用漏洞在目标系统执行任意代码及绕过安全限制。Ghostscript 9.26及更早版本都受影响。软件供应商已提供补丁程序。[2019/1/24]
这里有一个域的概念，浏览器是有同源策略等防护策略的，按理不属于 discord.com 做出的操作不应该在 discord.com 域的页面有响应，但书签却绕过了这个限制。
可以预见书签这么个小功能隐含的安全问题，正常添加书签的方式会明显看到书签网址：
稍微有安全意识的读者应该会直接看到网址信息明显存在问题。
当然如果是一个构造好诱导你拖拽收藏到书签栏到页面呢？可以看到 twitter 链接中的演示视频就是构造了这么个诱导页面：”Drag this to your bookmarked”。
也就是拖着某个链接即可添加到书签栏，只要钓鱼剧本写得足够真实，就很容易让安全意识不足的用户中招。
要实现拖拽即可添加到书签栏只需要构造一个 a 标签，下面是示例代码：
书签在点击时可以像在开发者工具控制台中的代码一样执行，并且会绕过 CSP(Content Security Policy)策略。
读者可能会有疑问，类似 “javascript:()” 这样的链接，在添加进入到浏览器书签栏，浏览器竟然会没有任何的提醒？
笔者这里以谷歌和火狐两款浏览器来进行对比。
使用谷歌浏览器，拖拽添加正常的 URL 链接不会有任何的编辑提醒。
使用谷歌浏览器，拖拽添加恶意链接同样不会有任何的编辑提醒。
使用火狐浏览器如果添加正常链接不会有提醒。
使用火狐浏览器，如果添加恶意链接则会出现一个窗口提醒编辑确认保存。
由此可见在书签添加这方面火狐浏览器的处理安全性更高。
场景演示
演示采用的谷歌浏览器，在用户登录 Web 端 Discord 的前提下，假设受害者在钓鱼页面的指引下添加了恶意书签，在 Discord Web 端登录时，点击了该书签，触发恶意代码，受害者的 Token 等个人信息便会通过攻击者设置好的 Discord webhook 发送到攻击者的频道上。
下面是演示受害者点击了钓鱼的书签：
下面是演示攻击者编写的 JavaScript 代码获取 Token 等个人信息后，通过 Discord Server 的 webhook 接收到。
笔者补充几点可能会产生疑问的攻击细节：
1. 为什么受害者点了一下就获取了？
通过背景知识我们知道，书签可以插入一段 JavaScript 脚本，有了这个几乎可以做任何事情，包括通过 Discord 封装好的 webpackChunkdiscord_app 前端包进行信息获取，但是为了防止作恶的发生，详细的攻击代码笔者不会给出。
2. 为什么攻击者会选择 Discord webhook 进行接收？
因为 Discord webhook 的格式为
“https://discord.com/api/webhooks/xxxxxx”，直接是 Discord 的主域名，绕过了同源策略等问题，读者可以自行新建一个 Discord webhook 进行测试。
3. 拿到了 Token 又能怎么样？
拿到了 Token 等同于登录了 Discord 账号，可以做登录 Discord 的任何同等操作，比如建立一个 Discord webhook 机器人，在频道里发布公告等虚假消息进行钓鱼。
总结
攻击时刻在发生，针对已经遭受到恶意攻击的用户，建议立刻采取如下行动进行补救：
1. 立刻重置 Discord 账号密码。
2. 重置密码后重新登录该 Discord 账号来刷新 Token，才能让攻击者拿到的 Token 失效。
3. 删除并更换原有的 webhook 链接，因为原有的 webhook 已经泄露。
4. 提高安全意识，检查并删除已添加的恶意书签。
作为用户，重要的是要注意任何添加操作和代码都可能是恶意的，Web 上会有很多的扩展看起来非常友好和灵活。书签不能阻止网络请求，在用户手动触发执行的那一刻，还是需要保持一颗怀疑的心。
本文到这边就结束了，慢雾安全团队将会揭露更多关于黑暗森林的攻击事件，希望能够帮助到更多加密世界的人。
By：耀@慢雾安全团队
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。