慢雾：balancer.fi は BGP ハイジャック攻撃を受けています

2023-09-20 12:15:10

ChainCatcher のメッセージによると、SlowMist の情報では、balancer.fi が BGPHijacking 攻撃を受けており、このウェブサイトにアクセスしてウォレットをリンクするとフィッシング攻撃に遭う可能性があります。CloudFlare の BGP Origin Hijack-17957 によると、ASNs の被害者リストには balancer.fi に属する AS13335 が含まれています。現在、このウェブサイトにアクセスすると CloudFlare のフィッシングセキュリティ警告が表示されます。

以下は SlowMist セキュリティチームによる今回の事件の分析です：

ドメイン名 balancer.fi の DNS 解決記録を確認しました（https://bgp.tools/dns/balancer.fi）。A レコードのアドレスは 104.21.37.47 と 172.67.203.244 です。この二つの IP アドレスの所属 BGP AS 番号は AS13335 であり、この AS は CloudFlare に属しています。
CloudFlare の記録によると（https://radar.cloudflare.com/routing/anomalies/hijack-17957）、AS13335 は BGP Origin Hijack 攻撃の AS リストに含まれています。
balancer.fi の HTTPS 証明書が攻撃者の証明書に置き換えられていることが判明しました。
現在、https://app.balancer.fi にアクセスすると CloudFlare のフィッシングセキュリティ警告が表示されます。
分析の結果、app.balancer.fi のフロントエンドには悪意のある JavaScript コードが存在します（ https://app.balancer.fi/js/overchunk.js）。
ユーザーがウォレットを使って app.balancer.fi に接続すると、悪意のあるスクリプトが自動的に残高を判断しフィッシング攻撃を行います。
MistTrack の分析により、悪意のあるアドレスは以下の通りです：
0x00006DEAcd9ad19dB3d81F8410EA2B45eA570000
0x645710Af050E26bB96e295bdfB75B4a878088d7E
0x0000626d6DC72989e3809920C67D01a7fe030000

SlowMist セキュリティチームはユーザーに対し、現在 balancer に対する BGP 攻撃が継続中であるため、balancer のウェブサイトへのアクセスを一時停止し、攻撃を避けるように警告しています。

リスク警告