Hackers nemen Discord-server met 250.000 leden over voor crypto-oplichting

Een populaire Discord-server met meer dan 250.000 leden is in handen gevallen van hackers. De aanvallers gebruikten de grote gamingcommunity om een frauduleuze cryptomunt te promoten. De aanval vond plaats op 9 oktober en wordt in verband gebracht met een beruchte hacker. Inmiddels hebben tienduizenden gebruikers de server verlaten.

Hackers misbruiken vertrouwen van 250.000 gamers

Het gaat om de officiële Discord-server van Calamity, een populaire uitbreiding voor de videogame Terraria. In dit spel kunnen gebruikers werelden verkennen, bouwen en tegen vijanden vechten. Calamity voegt daar nieuwe wapens, vijanden en uitdagingen aan toe.

De uitbreiding bestaat al ongeveer tien jaar en heeft een grote groep trouwe fans opgebouwd. Op Discord, een platform waarop gamers met elkaar communiceren, waren meer dan 250.000 leden aangesloten bij de officiële community.

De toekomst van Calamity was echter al onzeker. In augustus besloten de ontwikkelaars definitief te stoppen met het project. Dat gebeurde nadat opnieuw ernstige beschuldigingen waren opgedoken over het in gevaar brengen van minderjarigen.

Daarnaast speelde er een conflict over achterstallige betalingen. Verschillende ontwikkelaars zouden nog enkele duizenden dollars tegoed hebben gehad. Door het stopzetten van de ontwikkeling bleef Calamity onvoltooid.

Toen leden op 9 oktober plotseling een algemene melding ontvingen, hoopten sommigen dan ook op goed nieuws. Misschien zou de ontwikkeling alsnog worden hervat.

Maar de werkelijkheid bleek heel anders. De Discord-server was overgenomen door cybercriminelen, die de toegang gebruikten om een frauduleuze cryptomunt onder de aandacht te brengen.

Cryptomunt stort in na verdachte promotie

Na de overname begonnen de hackers massaal berichten te verspreiden over een cryptomunt die naar de Calamity-community was vernoemd. Daarbij deelden ze links waarmee gebruikers de munt konden kopen.

De aanvallers probeerden zoveel mogelijk mensen te bereiken. Door de munt te promoten binnen een community van honderdduizenden leden, konden ze in korte tijd veel aandacht trekken.

De prijs van de cryptomunt werd daarbij kunstmatig opgedreven, waarna de waarde snel instortte. De gebeurtenissen wijzen op een zogeheten pump and dump.

Bij deze vorm van marktmanipulatie wordt een cryptomunt eerst massaal gepromoot om de prijs te laten stijgen. Vervolgens verkopen betrokken partijen hun munten. Daardoor kan de koers plotseling instorten, terwijl andere kopers met grote verliezen achterblijven.

De moderators van de Reddit-community r/CalamityMod sloegen al snel alarm. Ongeveer een uur nadat de eerste verdachte berichten verschenen, publiceerden zij een dringende waarschuwing.

Gebruikers kregen het advies de Discord-server onmiddellijk te verlaten en niet in te gaan op berichten over de cryptomunt.

Hoeveel mensen daadwerkelijk geld hebben verloren, is vooralsnog onbekend.

Beruchte hacker Kata mogelijk betrokken bij aanval

Volgens berichten op Reddit, die later door de voormalige eigenaar van de Discord-server werden bevestigd, kregen de hackers toegang door zich voor te doen als voormalige moderators.

Twee gebruikers benaderden de eigenaar en wisten hem ervan te overtuigen de controle over de server over te dragen. Daarmee kregen de aanvallers de mogelijkheid om namens de officiële community berichten te verspreiden.

Een van de betrokken accounts werd geïdentificeerd als Kata. Deze hacker wordt al langer in verband gebracht met aanvallen op grote Discord-servers.

Kata zou de afgelopen twee jaar betrokken zijn geweest bij de overname van tientallen populaire servers. Die beschuldigingen zijn echter niet onafhankelijk bevestigd.

Opvallend is dat de aanvallers volgens deze verklaringen geen technische beveiliging hoefden te doorbreken. Ze misleidden een beheerder om vrijwillig belangrijke toegangsrechten af te staan.

Deze methode staat bekend als social engineering. Cybercriminelen maken daarbij misbruik van menselijk vertrouwen om toegang te krijgen tot accounts of systemen.

De hackers hadden alleen één belangrijk detail over het hoofd gezien. Een voormalige moderator beschikte nog altijd over beheerdersrechten.

Deze moderator besloot in te grijpen en verwijderde vrijwel de volledige inhoud van de Discord-server. Alle bestaande kanalen en berichten werden gewist. Daarmee verdwenen ook de berichten waarin de frauduleuze cryptomunt werd gepromoot.

Toch waren de aanvallers daarmee niet volledig verdwenen. Kata en een tweede account, mogelijk van dezelfde persoon of een medeplichtige, bleven actief op de server.

In het enige overgebleven kanaal, genaamd ‘#announce’, verschenen vervolgens berichten waarin werd beweerd dat er geen cryptogerelateerde spam meer zou worden verspreid.

Ook werd gesteld dat eerder de verkeerde personen beheerdersrechten hadden gekregen. Of deze verklaringen betrouwbaar zijn, is onduidelijk.

De schade voor de Calamity-community is ondertussen aanzienlijk. In de twee dagen na de aanval verlieten tienduizenden gebruikers de Discord-server.

Voor de fans betekent dat opnieuw een zware tegenvaller. Nadat de ontwikkelaars in augustus al stopten met Calamity, is nu ook het belangrijkste communicatiekanaal van de community ernstig getroffen.