Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die du kennen solltest.
Diesen Monat haben wir gemeinsam mit OpenSea und Blockaid ein neues Transaktionssicherheits-Feature gestartet, das bereits mehr als 4.000 riskante Transaktionen blockiert hat. Darüber hinaus stahl ein Scam-as-a-Service namens Venom Drainer 27 Millionen US-Dollar von etwa 15.000 Personen, und unsere Forscher Taylor Monahan und Harry Denley begannen, eine separate Kampagne zu untersuchen, die langjährige Krypto-Nutzer ausraubt. Etherscan änderte außerdem eine Einstellung, um Address-Poisoning-Scams einzudämmen. Die vollständige Übersicht findest du unten – aber zuerst...
MINT-Pionier im Fokus: Michael Faraday, Pionier des Elektromagnetismus und der Elektrochemie
Michael Faraday (1791–1867) war ein weitgehend autodidaktischer englischer Wissenschaftler, dessen Experimente die Grundlagen des Elektromagnetismus – einschließlich der elektromagnetischen Induktion – sowie der Elektrochemie legten, wobei seine Gesetze der Elektrolyse noch heute seinen Namen tragen. Sein Beharren auf sorgfältigen, reproduzierbaren Experimenten statt auf Annahmen entspricht genau jener evidenzbasierten Disziplin, auf die solide Sicherheitsforschung angewiesen ist.
Endo benennt importHook um und arbeitet an der BigInt- und SES-Kompatibilität für Mobile
Endos exitModuleImportHook wurde in importHook umbenannt und wartet auf den Merge in den compartment-mapper. SES 0.18.3+ enthält nun den zuvor erwähnten React Native Android JSC-Fix für den nicht standardmäßigen AsyncGenerator und AsyncFunctionPrototype. Das Team schloss außerdem eine Untersuchung der BigInt-Kompatibilität mit MetaMask Mobile-Bibliotheken ab, um den besten Weg nach vorne zu bestimmen: Der big-integer-Shim unterstützt @ethereumjs/util noch nicht vollständig, react-native-v8 ist vollständig kompatibel, weist jedoch ein blockierendes Performance-Problem auf, und Hermes bietet eine funktionierende BigInt-Implementierung, bringt aber andere Kompatibilitätsprobleme mit sich und verfügt nicht über das „with"-Statement, das SES benötigt. Verschiedene TypeErrors mit SES 0.18.3+ unter React Native 0.71.6 werden untersucht und bringen das Team näher daran, MetaMask Mobile abzusichern, das von 0.66.5 aktualisiert wird, einschließlich React Native 0.72.0-rc1.
LavaMoats ScorchWrap-Plugin bündelt echte Abhängigkeiten, und die Yarn-Berry-Unterstützung beginnt
Das LavaMoat-Team war im April 2023 beim React Native London Meetup und beim Node Congress Berlin vertreten; ein Video eines Vortrags von Zbigniew Tenerowicz wird für den Folgemonat erwartet. Der bisherige Ansatz für sicheres Bundling funktionierte, aber seine Einschränkungen waren ausgeprägt genug, dass das Team von einem Loader zu einem Plugin wechselte und eine bessere Phase im Bundling-Prozess für das Wrapping jedes Moduls fand. Der Plugin-Proof-of-Concept mit dem Codenamen ScorchWrap kann ein einfaches Bundle mit echten Abhängigkeiten unabhängig vom Code-Typ (CommonJS, ESM oder kompiliertes TypeScript) erstellen; weitere Arbeit ist für die Kompatibilität mit anderen Plugins und umfangreiche Tests erforderlich. Das Team startete außerdem frühe Recherchen zur SES-Kompatibilität mit Hermes, begann mit der Yarn-Berry-(3+)-Unterstützung für @lavamoat/allow-scripts und hat Präsentationen zur neuen Architektur von React Native und deren Absicherung in Arbeit.
MetaMask, OpenSea und Blockaid starten Transaktionssicherheit, die 4.000+ riskante Transaktionen blockiert
Im April 2023 haben wir gemeinsam mit OpenSea und Blockaid ein experimentelles, optionales Transaktionssicherheits-Feature entwickelt, das bekannte Scams erkennt, bevor Nutzer sie bestätigen – und es hatte bereits 4.000+ riskante Transaktionen blockiert. OpenSea stellt seine Scam-Blockliste bereit, und Blockaid analysiert in Echtzeit schädliches Verhalten; weitere Sicherheitsmaßnahmen sind in Arbeit.
Gal Weizman entdeckt ein gespeichertes XSS in Snyk Advisor (CVE-2023-1767)
MetaMask Securitys Gal Weizman dokumentierte seine Untersuchung in „CVE-2023-1767 — Stored XSS on Snyk Advisor service can allow full fabrication of npm packages health score." Wie er zusammenfasste, ermöglichte ein gespeichertes XSS in Snyk Advisor, den Health Score von Paketen unter seiner Kontrolle zu fälschen und ein „schädliches" Paket als gesund, beliebt und legitim erscheinen zu lassen – etwas, das ein Angreifer hätte nutzen können, um andere davon zu überzeugen, ein tatsächlich schädliches npm-Paket zu installieren.
Venom Drainer ersetzt Monkey Drainer und stiehlt 27 Millionen US-Dollar von etwa 15.000 Opfern
Monkey Drainer mag Geschichte sein, doch Venom Drainer nahm fast über Nacht seinen Platz ein. Laut einem Bericht von Scam Sniffer Anfang April 2023 stahl der Venom-Drainer-Scam-as-a-Service 27 Millionen US-Dollar von rund 15.000 Opfern – allein die fünf größten Opfer verloren 14 Millionen US-Dollar – über etwa 530 Phishing-Seiten, die rund 170 Marken ins Visier nahmen.
Eine Multichain-Drainer-Kampagne zielt auf langjährige Krypto-Nutzer ab
Mitte des Monats starteten MetaMask Securitys Taylor Monahan und Harry Denley eine umfangreiche Untersuchung, nachdem sie eine Multichain-Offensive entdeckt hatten, die Menschen ins Visier nahm, die seit Jahren im Krypto-Ökosystem aktiv waren – viele davon mit fundiertem Wissen über persönliche Sicherheit. Die betroffenen Secret Recovery Phrases kontrollierten Schlüssel, die zwischen 2014 und 2022 erstellt wurden, und die Untersuchung war noch im Gange. „Seit Dezember 2022 wurden 5.000+ ETH und ??? an Tokens / NFTs / Coins über 11+ Chains abgezogen. Es hat meine Freunde und OGs erwischt, die eigentlich gut abgesichert sind. Niemand weiß wie," teilte Monahan mit.
Etherscan blendet Zero-Value-Transfers aus, um Address Poisoning einzudämmen
CoinDesk berichtete, dass „Etherscan Reconfigures Blockchain Explorer Settings to Filter Out Potential Scams." Der Explorer blendet nun standardmäßig Zero-Value-Token-Transfer-Anzeigen aus – eine Einstellung, die darauf abzielt, Address Poisoning zu verhindern, bei dem Angreifer nahezu wertlose Token an eine Wallet senden, um den Nutzer dazu zu verleiten, später Gelder an eine Scam-Adresse zu kopieren und zu senden.
Gefälschter Uniswap-„Hack"-Phishing verleitet Nutzer zu einem gefälschten Revoke.cash
Betrüger manipulierten die Hashtags #UniswapHack und #UniswapExploit, um sie in die Trends zu bringen, und nutzten den gefälschten „Hack" dann, um Nutzer zu einer gefälschten Version von Revoke.cash zu drängen. Wie Hayden Adams und Evan Van Ness am 15. April 2023 darauf hinwiesen, war Uniswap nicht gehackt worden, und sie erinnerten die Nutzer daran, ruhig zu bleiben und keine panischen Entscheidungen zu treffen.
Google-Suchanzeigen-Phishing hat 4 Millionen US-Dollar gestohlen
Ein Scam-Sniffer-Bericht dokumentierte Google-Suchanzeigen-Phishing, das zu 4 Millionen US-Dollar Diebstahl führte. Google-Suchanzeigen-Phishing ist ein Scam, bei dem Betrüger für gesponserte Ergebnisse bezahlen, die echte Krypto-Marken imitieren, und Nutzer auf täuschend echte Seiten leiten, die ihre Wallet-Zugangsdaten oder Gelder stehlen. Diese Scams sind eine wiederkehrende Bedrohung – überprüfe daher URLs sorgfältig, nutze wo möglich Lesezeichen, überspringe gesponserte Suchergebnisse und erwäge einen Werbeblocker, um das Risiko zu reduzieren.
MetaMasks Krypto-Sicherheitsbericht für April 2023 behandelte den Launch eines experimentellen Transaktionssicherheits-Features von MetaMask, OpenSea und Blockaid, den Venom-Drainer-Scam-as-a-Service, der 27 Millionen US-Dollar von etwa 15.000 Opfern stahl, sowie eine laufende Untersuchung einer Multichain-Drainer-Kampagne, die langjährige Krypto-Nutzer ins Visier nimmt. Stöbere in früheren Ausgaben des MetaMask Crypto Security Report für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
