Les utilisateurs de 1inch sont mis en garde contre toute interaction en cas de violation de leur site Web

Le site Web de l'agrégateur d'échange décentralisé 1inch a été piraté, ainsi que plusieurs autres plates-formes utilisant la même bibliothèque frontale, Lottie Player.

Decentralized exchange aggregator 1inch’s website has been breached along with multiple other platforms that use the same frontend library, Lottie Player.

Le site Web de l'agrégateur d'échange décentralisé 1inch a été piraté, ainsi que plusieurs autres plates-formes utilisant la même bibliothèque frontale, Lottie Player.

The breach was discovered after users reported suspicious activity on their wallets following interactions with these platforms. Upon investigation, it was found that malicious code had been injected into the Lottie Player, a widely-used animation library used by several dApps and non-crypto websites.

La violation a été découverte après que les utilisateurs ont signalé une activité suspecte sur leur portefeuille suite à des interactions avec ces plateformes. Après enquête, il a été découvert qu'un code malveillant avait été injecté dans Lottie Player, une bibliothèque d'animation largement utilisée par plusieurs dApps et sites Web non cryptographiques.

As of now, no user wallets have been reportedly compromised. However, 1inch users are being cautioned against any interactions with the platform until the issue is fully resolved.

Pour l’instant, aucun portefeuille d’utilisateur n’aurait été compromis. Cependant, les utilisateurs de 1inch sont mis en garde contre toute interaction avec la plate-forme jusqu'à ce que le problème soit complètement résolu.

According to several posts on X (formerly Twitter), 1inch and TEN Finance are the confirmed victims of this attack so far. However, the number could be much higher, as the exploit targeted Lottie Player versions 2.0.5 and above.

Selon plusieurs publications sur X (anciennement Twitter), 1inch et TEN Finance sont jusqu'à présent les victimes confirmées de cette attaque. Cependant, le nombre pourrait être beaucoup plus élevé, car l'exploit ciblait les versions 2.0.5 et supérieures de Lottie Player.

Hackers have reportedly injected malicious code into the front-end JSON files of websites using these versions. This code now enables the compromised sites to perform unauthorized transactions, posing a severe threat to users’ assets and data.

Des pirates auraient injecté du code malveillant dans les fichiers JSON front-end des sites Web utilisant ces versions. Ce code permet désormais aux sites compromis d'effectuer des transactions non autorisées, ce qui constitue une menace grave pour les actifs et les données des utilisateurs.

Reports from Blockaid indicate that the attack was introduced through a compromise of Lottie Player’s content server, where a malicious npm package was used to distribute altered code. Blockaid and other security firms have confirmed the injection of unauthorized scripts within the package.

Les rapports de Blockaid indiquent que l'attaque a été introduite via une compromission du serveur de contenu de Lottie Player, où un package npm malveillant a été utilisé pour distribuer du code modifié. Blockaid et d'autres sociétés de sécurité ont confirmé l'injection de scripts non autorisés dans le package.

“Legitimate sites (non crypto as well) are now serving malicious content, including anti-debug evasion code. @LottieFiles, it looks like attackers have managed to push malicious versions of your package, with another version being uploaded now,” Blockaid wrote in an X (formerly Twitter) post.

« Les sites légitimes (non cryptés également) diffusent désormais du contenu malveillant, y compris du code d'évasion anti-débogage. @LottieFiles, il semble que les attaquants aient réussi à diffuser des versions malveillantes de votre package, avec une autre version en cours de téléchargement maintenant », a écrit Blockaid dans un message X (anciennement Twitter).

At the time of writing, 1inch hasn’t released any official statement on the breach. However, the Lottie Player team has confirmed that they were able to identify the cause of the breach and are working on removing the affected versions.

Au moment de la rédaction de cet article, 1inch n'a publié aucune déclaration officielle sur la violation. Cependant, l'équipe de Lottie Player a confirmé avoir été en mesure d'identifier la cause de la violation et travaille à la suppression des versions concernées.

Users are strictly advised to avoid connecting wallets or interacting with affected platforms until the security issues are fully resolved.

Il est strictement conseillé aux utilisateurs d'éviter de connecter des portefeuilles ou d'interagir avec les plates-formes concernées jusqu'à ce que les problèmes de sécurité soient complètement résolus.