O bot do servidor do Axie Infinity no Discord foi hackeado na noite de segunda-feira (01) por um golpista que, ao se passar pela equipe oficial do popular jogo play-to-earn, divulgou uma falsa venda de NFTs para roubar as criptomoedas dos jogadores.
O plano parece ter dado certo e no curto espaço de tempo em que a mensagem do bot ficou no ar, o invasor conseguiu roubar 28.2848 Ethereum (ETH) de suas vítimas, o equivalente a R$ 716 mil na atual cotação da moeda.
De acordo com os dados públicos da blockchain, o endereço do golpista foi criado na noite anterior e todos os fundos roubados já foram espalhados para outros endereços.
No Twitter, um usuário que confessou ter sido o responsável pelo ataque compartilhou o balanço da sua carteira, agradecendo a comunidade do Axie Infinity por ter caído no seu golpe.
Como o ataque aconteceu
A equipe do Axie Infinity confirmou a veracidade do ataque e explicou que ele foi possível porque um de seus administradores teve a conta comprometida no Discord.
“O invasor enganou um membro da nossa equipe de suporte para compartilhar sua tela e inspecionar seu navegador (Chrome). Isso fez com que o invasor ganhasse acesso à conta do Discord do funcionário, apesar da autenticação de dois fatores estar habilitada”, diz o comunicado oficial.
Dentro da conta do administrador, o invasor teve acesso completo às configurações do bot oficial do jogo. Um bot é uma espécie “robô” que canais do Discord configuram para publicar mensagens automatizadas.
Os bots oficiais possuem um selo de autenticação para garantir ao usuário que de fato a mensagem é confiável e provavelmente foi por causa dessa confiança que muitos acabaram caindo no golpe.
Com o acesso liberado, o invasor conseguiu compartilhar a falsa venda de NFTs do Axie Infinity em todos os canais do Discord programados para compartilhar as notícias do bot. Os usuários que clicaram no link da mensagem eram direcionados para a página do golpe.
Ao todo, foram 155 jogadores que perderam dinheiro ao interagir com o contrato inteligente criado pelo golpista. No entanto, a equipe do Axie Infinity já se comprometeu a reembolsar de forma integral todos os jogadores prejudicados.
O jogo informou que está trabalhando com o Discord para resolver falhas de segurança e que também planeja orientar todos os membros da equipe para prevenir que suas contas sejam comprometidas no futuro.
Quem está por trás do golpe?
Assim que o golpe foi identificado pela equipe do Axie Infinity, o site fraudulento que promovia a falsa venda de NFTs saiu do ar e a página de destino passou a exibir uma mensagem do invasor.
No print compartilhado pelo Manila Bulletin, o hacker que se identifica no Twitter por @racist escreveu: “Irradiado por racista! Aumentem sua segurança, bando de larpers”.
No Twitter, o hacker também assumiu a autoria de outro ataque que aconteceu na mesma noite, dessa vez ao projeto por trás da coleção de NFTs Jungle Freaks.
No dia do ataque, a comunidade descobriu que George Trosley, o artista por trás da coleção, havia produzido uma série de desenhos racistas na década de 70. Aliás, o hacker confessou que a acusação o incentivou a executar o ataque que lhe rendeu mais R$ 658 mil.