1インチのウェブサイトが侵害されたため、ユーザーは一切のやり取りをしないよう警告

分散型取引所アグリゲーター 1inch の Web サイトが、同じフロントエンド ライブラリである Lottie Player を使用する他の複数のプラットフォームとともに侵害されました。

Decentralized exchange aggregator 1inch’s website has been breached along with multiple other platforms that use the same frontend library, Lottie Player.

分散型取引所アグリゲーター 1inch の Web サイトが、同じフロントエンド ライブラリである Lottie Player を使用する他の複数のプラットフォームとともに侵害されました。

The breach was discovered after users reported suspicious activity on their wallets following interactions with these platforms. Upon investigation, it was found that malicious code had been injected into the Lottie Player, a widely-used animation library used by several dApps and non-crypto websites.

この侵害は、ユーザーがこれらのプラットフォームとのやり取り後にウォレット上で不審なアクティビティを報告した後に発見されました。調査の結果、いくつかの dApp や非暗号化 Web サイトで広く使用されているアニメーション ライブラリである Lottie Player に悪意のあるコードが挿入されていることが判明しました。

As of now, no user wallets have been reportedly compromised. However, 1inch users are being cautioned against any interactions with the platform until the issue is fully resolved.

現時点では、ユーザーのウォレットが侵害されたとの報告はありません。ただし、1インチのユーザーは、問題が完全に解決されるまでプラットフォームとのやり取りを行わないよう警告されています。

According to several posts on X (formerly Twitter), 1inch and TEN Finance are the confirmed victims of this attack so far. However, the number could be much higher, as the exploit targeted Lottie Player versions 2.0.5 and above.

X (旧 Twitter) へのいくつかの投稿によると、これまでのところ 1inch と TEN Finance がこの攻撃の被害者であることが確認されています。ただし、このエクスプロイトは Lottie Player バージョン 2.0.5 以降をターゲットにしているため、この数字はさらに大きくなる可能性があります。

Hackers have reportedly injected malicious code into the front-end JSON files of websites using these versions. This code now enables the compromised sites to perform unauthorized transactions, posing a severe threat to users’ assets and data.

報告によると、ハッカーはこれらのバージョンを使用している Web サイトのフロントエンド JSON ファイルに悪意のあるコードを挿入しました。このコードにより、侵害されたサイトが不正なトランザクションを実行できるようになり、ユーザーの資産とデータに深刻な脅威がもたらされます。

Reports from Blockaid indicate that the attack was introduced through a compromise of Lottie Player’s content server, where a malicious npm package was used to distribute altered code. Blockaid and other security firms have confirmed the injection of unauthorized scripts within the package.

Blockaid のレポートによると、この攻撃は Lottie Player のコンテンツ サーバーの侵害によって導入され、悪意のある npm パッケージが変更されたコードを配布するために使用されました。 Blockaid およびその他のセキュリティ会社は、パッケージ内に不正なスクリプトが挿入されたことを確認しました。

“Legitimate sites (non crypto as well) are now serving malicious content, including anti-debug evasion code. @LottieFiles, it looks like attackers have managed to push malicious versions of your package, with another version being uploaded now,” Blockaid wrote in an X (formerly Twitter) post.

「正規のサイト（非暗号サイトも同様）が現在、デバッグ回避コードなどの悪意のあるコンテンツを提供しています。 @LottieFiles さん、攻撃者があなたのパッケージの悪意のあるバージョンをプッシュすることに成功したようで、現在別のバージョンがアップロードされています」と Blockaid は X (旧 Twitter) の投稿に書いています。

At the time of writing, 1inch hasn’t released any official statement on the breach. However, the Lottie Player team has confirmed that they were able to identify the cause of the breach and are working on removing the affected versions.

この記事の執筆時点では、1inch はこの侵害に関する公式声明を発表していません。ただし、Lottie Player チームは侵害の原因を特定でき、影響を受けるバージョンの削除に取り組んでいることを確認しました。

Users are strictly advised to avoid connecting wallets or interacting with affected platforms until the security issues are fully resolved.

ユーザーは、セキュリティ問題が完全に解決されるまで、ウォレットに接続したり、影響を受けるプラットフォームとやり取りしたりしないことを強くお勧めします。