Hacker haben die Website Bonk.fun gekapert und ein Skript eingebaut, das Geld aus den Wallets einiger Nutzer geklaut hat. Die auf Solana basierende Startplattform hat bestätigt, dass ein „böswilliger Akteur” ihre Domain geknackt hat, und die Nutzer gewarnt, die Seite nicht zu besuchen.
Laut Tom, dem Betreiber von Bonk.fun, haben die Angreifer die Kontrolle über ein Teamkonto übernommen, das mit der Domain oder dem Hosting-Anbieter verbunden war. Dann haben sie einen Code eingefügt, der die Hauptwebsite in eine Phishing-Falle für alle Wallets verwandelte, die sich nach dem Hack verbunden haben.
Das Team sagte, dass es sich um einen Hack der Web2-Infrastruktur handelte und nicht um einen direkten Angriff auf die Solana-Smart-Contracts oder den BONK-Token selbst. Das heißt, der Angriff zielte auf das Frontend der Website ab, wo die Nutzer über ihre Wallets mit der App interagieren.
Gefälschte Nutzungsbedingungen versteckten Wallet-Drainer
Nutzer, die während des Vorfalls Bonk.fun besuchten, sahen eine Meldung, die wie normale Nutzungsbedingungen oder eine Zustimmungsaufforderung aussah. In Wirklichkeit gab die Unterzeichnung dieser Meldung einem bösartigen Vertrag die Erlaubnis, Token aus ihren Wallets zu entfernen.
Tom und andere Teammitglieder betonten, dass nur Nutzer betroffen waren, die die gefälschte Zustimmung nach dem Hack unterschrieben hatten. Leute, die sich vor dem Hack mit Bonk.fun verbunden hatten oder die Bonk.fun-Token über externe Terminals gehandelt hatten, waren nicht dem gleichen Risiko ausgesetzt.
Trotzdem scheinen einige Verluste ziemlich hoch zu sein. Ein Händler meinte auf X, dass er ungefähr 273.000 Dollar verloren hat, nachdem er seine Wallet mit der gehackten Website verbunden hat. Bonk.fun hat nicht sofort eine vollständige Schätzung der insgesamt gestohlenen Gelder veröffentlicht.
Was das Team und die Community als Nächstes unternommen haben
Nachdem das Team die Entführung bestätigt hatte, gab es dringende Warnungen in den sozialen Medien heraus und forderte die Nutzer auf, die Domain komplett zu meiden. Tom sagte, dass die schnellen Warnungen und der Austausch innerhalb der Community dazu beigetragen hätten, die Anzahl der Wallets, die der Drainer erreichen konnte, zu begrenzen.
In Sicherheitsbeiträgen wurde den betroffenen Nutzern geraten, Token-Genehmigungen zu widerrufen, Vermögenswerte in neue Wallets zu verschieben und Transaktionen auf ungewöhnliche Aktivitäten zu überwachen. Experten forderten die Projekte außerdem auf, Domain-Konten mit Multi-Faktor-Authentifizierung und besserer Registrierungs-Sicherheit zu sperren, um diese Lücke zwischen „Web2 und Web3” zu schließen.
Das Bonk.fun-Team arbeitet jetzt mit Anbietern zusammen, um die Kontrolle über die Domain zu sichern und zu untersuchen, wie die Angreifer an die Zugangsdaten des Teams gekommen sind. Sie sagen, dass die Wiederherstellung des Vertrauens sowohl technische Korrekturen als auch eine klare Kommunikation mit den Nutzern erfordert, die Geld verloren haben.
WEITERLESEN: Wells Fargo steigt mit WFUSD-Anmeldung in den Stablecoin-Markt ein
