Discord 安全机器人双重计数器遭黑客攻击，导致数百万用户数据泄露

原创

ZM
ZM

暗镜

2026年10月15日 06:00
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

近期Discord 安全机器人 Double Counter 遭遇有针对性的基础设施攻击，导致与数百万个帐户关联的个人信息泄露。根据运营商 Tellter SAS 的一份事件报告，攻击者获取了云凭证，劫持了机器人，复制了约 12 GB 的数据库内容，并滥用了一个单独的支付账户。

攻击者在云环境中持续活动了5小时51分钟，从UTC时间12:03到17:54。Double Counter在19:19更换了泄露的凭证后恢复了服务。对14个云项目的审计未发现攻击者的任何残留痕迹。入侵始于一台已退役的 OVH 服务器，该服务器已与 Double Counter 的运营网络断开连接，但仍然托管着一个可通过互联网访问的 Metabase 分析实例。报告指出，此次攻击的初始原因是 Metabase 数据库存在漏洞，攻击者利用该漏洞伪造管理员会话并访问底层主机。报告未提供具体的通用漏洞披露 (CVE) 编号。

被入侵的服务器包含重要的凭证，包括具有云管理员权限的服务帐户密钥和管理员保存的命令行会话。攻击者利用这些合法身份，将他们的活动融入到正常的运营活动中。攻击者进入云端后，添加了一个 SSH 密钥，并将数据库导出到了一个新创建的存储桶中。但是，他们并没有下载初始导出的文件。UTC时间12:26，攻击者访问了一个正在运行的机器人容器的shell，并提取了其Discord令牌。随后，他们获得了Double Counter支持服务器上的账户管理员权限，撤销了官方的封禁，并通过大约50个大型社区分发了他们自己的Discord服务器的邀请。

据 Double Counter 称，最初的遏制措施失败是因为攻击者仍然能够访问基础设施。当防御者轮换僵尸网络令牌时，攻击者在两分钟内就获得了新的令牌。然后，他们更改了数据库管理员密码，中断了合法服务，并继续复制数据库内容，直到响应人员在 15:34 终止了会话。撤销服务帐户密钥后，攻击者切换到了被盗的管理员会话。受影响的数据集包括与约 2800 万个帐户关联的 Discord ID 和用户名，以及与约 2700 万个帐户关联的包含粗略地理位置数据的 IP 地址记录。这两类数据均被部分复制，目前被视为已泄露。此外，运营商确认约有 2500 万个用户代理哈希值和 100 万个去重后的电子邮件地址被复制。然而，运营商确认，1500万条VPN检测日志未被复制，包含约5800万用户数据和行为数据库的独立冷存储也未受影响。值得注意的是，Discord从未收集过密码，存储的支付卡信息也未泄露。一个属于另一款产品 Atis 的被盗 Stripe 密钥导致一张公司信用卡被盗刷，总额达 7,316 美元。另有两名客户分别被盗刷 3 美元和 15 美元，这些款项现已退还。为应对此次安全漏洞，响应人员撤销了凭证，关闭了旧服务器，限制了数据库连接，消除了公共缓存暴露，并实施了秘密访问日志记录。