北韓黑客利用Chrome漏洞 藉NFT遊戲竊取加密貨幣

北韓黑客組織Lazarus Group被證實利用Google Chrome瀏覽器中的零日漏洞，透過一款名為DeTankZone或DeTankWar的偽造多人線上競技場遊戲，竊取用戶加密貨幣錢包憑證。此遊戲宣稱基於區塊鏈，並使用非同質化代幣(NFTs)作為遊戲元素，黑客在LinkedIn和X平台上進行宣傳。

即加入CFTime TG 討論區！想掌握最新加密市場動態與 AI 新聞與資訊，更能隨時獲得免費 web 3入場券！

Kaspersky Lab於今年五月發現並通報Google此一零日漏洞，Google隨後已完成修復。 該漏洞利用了V8 JavaScript引擎中的「類型混淆錯誤」，為2024年截至五月中旬Chrome瀏覽器發現的第七個零日漏洞。 值得注意的是，即使使用者未下載遊戲，僅瀏覽相關網站亦可能遭受感染。黑客使用的惡意軟體被識別為Manuscrypt。

Chrome漏洞 「實際影響範圍可能更廣泛」

Kaspersky首席安全專家Boris Larin指出：「針對此次行動投入的巨大資源表明，他們有著雄心勃勃的計劃，實際影響範圍可能更廣泛，可能影響全球用戶和企業。」 由於黑客事後已移除相關網站，Kaspersky無法完整分析漏洞細節，但Google在收到通報後12天內即完成修復。

此事件並非Lazarus Group首次利用Chrome零日漏洞攻擊加密貨幣用戶。 該組織長期以來以鎖定加密貨幣為目標而聞名，根據加密貨幣犯罪觀察者ZachXBT的數據，Lazarus Group在2020年至2023年間，至少從25宗事件中竊取超過2億美元的加密貨幣。

此外，美國財政部也將其與2022年Ronin Bridge遭攻擊事件（損失超過6億美元）聯繫起來。 美國網路安全公司Recorded Future更指出，2017年至2023年間，北韓黑客總共竊取超過30億美元的加密貨幣。 本次事件的實際影響範圍和造成的損失，可能遠超過目前已知的數據。 此事件再次凸顯零日漏洞對網路安全的嚴重威脅，以及北韓資助網路犯罪活動的持續性與規模。