PeopleDAO zhackowane przez arkusz excela

6 marca społeczność PeopleDAO, założona w celu pozyskania rzadkiej kopii Konstytucji USA, została zhakowana. Szkody wyniosły 76,5 ETH (120 000 dolarów).

---

1/10
Bad news:
PeopleDAO Community Treasury on @safe has recently been exploited of 76 ETH (~$120,000) via social engineering during monthly reward payout on March 6th.
This expoloit is not related to $PEOPLE token contract.
Details below:

— PeopleDAO (📜, 🤝) (@The_PeopleDAO) March 11, 2023

Dział księgowy PeopleDAO omyłkowo zamieścił link do arkusza kalkulacyjnego Google z formularzem miesięcznych płatności na publicznym kanale Discord. Dokument miał otwarte prawa do edycji. Niezidentyfikowana osoba wpisała do niego adres swojego portfela i kwotę płatności w wysokości 76,5 ETH, po czym sprawiła, że linia stała się niewidoczna.

“Teamsterzy” nie wykryli ukrytej linii podczas podwójnego sprawdzania. Plik z danymi z arkusza kalkulacyjnego został następnie wysłany do narzędzia CSV Airdrop na platformie Safe w celu dystrybucji nagrody. “Walidatorzy również nie zauważyli złośliwego tłumaczenia” – wyjaśnił zespół PeopleDAO.

5/10
Because there are 80 transfers in the tx, 6 out of 9 multisig signers did not notice the malicious transfer, signed and executed the tx, sending 76 ETH to the hacker's address.
Txhash: https://t.co/NUGnRDS5xd
Hacker address: 0x80f751a95f678255cae9a280d4f25e5b926eae366 pic.twitter.com/OM3XGp4b5W

— PeopleDAO (📜, 🤝) (@The_PeopleDAO) March 11, 2023

Haker następnie przeniósł 69,2 ETH na giełdę HitBTC i 7,3 ETH na Binance. Obie platformy oraz organy ścigania zostały powiadomione o incydencie.

PeopleDAO prowadzi również wewnętrzne dochodzenie z ekspertami ds. bezpieczeństwa blockchain ZachXBT i SlowMist. Społeczność zaoferowała hakerowi nagrodę 10% skradzionej kwoty. W chwili pisania tego tekstu nie odpowiedział on na ofertę.